Related-key-boemerangaanval
Een boemerangaanval waarbij de twee halve differentialen ook onder verschillende, maar verwante sleutels mogen lopen.
Biham, Dunkelman en Keller formaliseerden de combinatie in 2005: neem Wagners boemerangaanval, voeg het related-key-model toe en gebruik sleutelverschillen om toestandsverschillen te laten wegvallen in precies de rondes waar de differentialen anders het zwakst zouden zijn. Vier sleutels in plaats van één maken de paden door het cijfer een stuk korter.
De techniek is vooral bekend van de aanval van Biryukov en Khovratovich uit 2009 op het volledige AES-256, met een kostprijs van ongeveer 299,5. Het was de eerste keer dat heel AES-256 in enig model sneller viel dan brute kracht – en een herinnering dat AES-256 een zwakker sleutelschema heeft dan AES-128. In de praktijk verandert er niets: een verstandig protocol geeft een aanvaller nooit sleutels met gekozen onderlinge verbanden.