Attacco a multicollisione
Trovare molti messaggi con lo stesso hash: per le funzioni hash iterate costa quasi quanto trovarne due.
Nel 2004 Antoine Joux mostrò che un hash Merkle–Damgård ha una debolezza intrinseca. Si trova una collisione per il primo blocco, poi un'altra per il secondo a partire dallo stato intermedio comune, e così via. Dopo k passi si hanno 2k messaggi con lo stesso hash, al prezzo di sole k collisioni ordinarie.
La conseguenza scomoda colpì un'abitudine difensiva diffusa: concatenare due funzioni hash, come MD5 e SHA-1, nella speranza di sommarne la robustezza. Con il metodo di Joux si costruisce una grande multicollisione in una e vi si cerca una collisione nell'altra; il risultato è appena più robusto della migliore delle due. È diventato uno degli argomenti a favore dei progetti wide-pipe, il cui stato interno è più largo dell'uscita, idea presente anche in SHA-3.