Im CTR-Modus wurden versehentlich zwei Nachrichten mit demselben Schlüssel und derselben Nonce verschlüsselt. Für das Byte an einer bestimmten Position ist der erste Klartext P₁ = 01001000 (ASCII „H“), sein Geheimtext C₁ = 01110100 und der zweite Geheimtext C₂ = 01010101. Welcher zweite Klartext P₂ an derselben Position ergibt sich, wenn ein Angreifer P₁ kennt?

Antwort: C. 01101001

Mit demselben Schlüssel und derselben Nonce ist der Schlüsselstrom K gleich, also gilt C₁ = P₁ ⊕ K und C₂ = P₂ ⊕ K. Zuerst ergibt sich K = P₁ ⊕ C₁ = 01001000 ⊕ 01110100 = 00111100, dann P₂ = C₂ ⊕ K = 01010101 ⊕ 00111100 = 01101001 (ASCII „i“). Auch ohne Kenntnis des Schlüssels liefert der eine bekannte Klartext unmittelbar den anderen. Im CTR-Modus und bei GCM ist es deshalb eine unverzichtbare Bedingung, mit demselben Schlüssel niemals dieselbe Nonce zweimal zu verwenden.