ECDSAの処理に乱数として512で割った余りを使っている部分があり、鍵長521ビットの場合 512 < 521 なため余りが正しく発生せず推測できるらしい。ECDSA 521bit鍵を使っていた場合は漏れている可能性がある。RSA派の大勝利だな。