XChaCha20
Variante di ChaCha20 con nonce a 192 bit, abbastanza grande da poter essere scelto a caso per ogni messaggio senza temere collisioni.
La versione IETF di ChaCha20 ha un nonce a 96 bit. Va bene con un contatore, ma con nonce casuali le collisioni iniziano dopo circa 248 messaggi per il paradosso del compleanno, e un nonce ripetuto rivela il testo in chiaro. XChaCha20 aggira il problema eseguendo prima una funzione ausiliaria, HChaCha20, sulla chiave e sui primi 128 bit del nonce. Ne esce una sottochiave, e i bit rimanenti del nonce si usano come di consueto.
La costruzione segue XSalsa20 di Daniel J. Bernstein del 2008. È inclusa in libsodium e WireGuard la usa per cifrare le risposte ai cookie. La bozza IETF destinata a standardizzarla non è mai diventata una RFC, il che non ha impedito a nessuno di usarla.