Was der Penetration Test beweist – und was die Pressemitteilung von Deepcoin nicht zeigt

In der Pressemitteilung heißt es, dass der Test erfolgreich war. Es wird jedoch nicht erwähnt, welche Risiken bei dem Test entstanden sind, wie viele Schwachstellen festgestellt wurden oder ob irgendwelche davon in die Kundenmittel gelangen konnten. Stattdessen wird nur die Abschluss der Arbeiten, die Zusammenarbeit sowie die Verpflichtungen angekündigt.

Das ist eine Sicherheitsüberprüfung, die in einer Pressemitteilung verpackt wird. Für einen Kryptowährungshandel, der täglich Hunderte von Millionen an Handelsvolumen verarbeitet, ist das auch eine Art Ankündigung, die beruhigend klingt – bis man herausfindet, was eine Penetrationstests eigentlich misst und was nicht.

Die Frage für die Investoren ist nicht, ob Deepcoin seine Systeme testen sollte. Die Frage ist vielmehr: Was sagt diese Ankündigung über den Exchange aus, an dem man sein Geld aufbewahren kann – und was sie eigentlich nicht verrät.

Was ein Penetrationstest misst

Ein Penetrationstest bedeutet, dass Ethik-Hacker die Infrastruktur einer Plattform ausnutzen, um Schwachstellen im Code, in APIs, Smart Contracts und den für Benutzer zugänglichen Anwendungen zu finden. Es handelt sich dabei um eine Cybersecurity-Übung. Das Ergebnis ist ein Bericht mit Angaben zu den Schwächen sowie eine Liste mit Lösungen für diese Schwächen.

Laut der Pressemitteilung hat Deepcoin die Plattform HackenProof – eine crowd-sourced Sicherheitsplattform – eingesetzt, um die Sicherheit zu testen.Asset-Sicherheit, Informationssicherheit, der Handelssystem, API-Interferenzen, Smart Contracts und Client-Anwendungen.Es steht:Alle potenziellen Schwachstellen, die während der Bewertung identifiziert wurden, wurden gründlich analysiert und abgewehrt.Es veröffentlicht weder den Bericht, die Anzahl der Schwachstellen, die Schweregraden der Schwachstellen oder eine Zeitplanung für die Behebung dieser Schwachstellen.

Diese Omission ist wichtig – denn ein Penetrationstest beweist nur eines: Zu einem bestimmten Zeitpunkt suchten die Tester nach Schwachstellen, und das Unternehmen hat diese Schwachstellen behoben. Der Test bestätigt jedoch nicht, dass das Unternehmen tatsächlich die von ihm angegebenen Kundeneinzahlungen aufbewahrt. Er bestätigt auch nicht die regulatorische Genehmigung des Unternehmens. Er zeigt auch nicht, dass die Abhebungen zuverlässig abgewickelt werden. Er berücksichtigt außerdem nicht das Risiko für Insider. Schließlich umfasst der Test auch keine Änderungen im Code, die nach Abschluss des Tests vorgenommen wurden.

In der Branche der Kryptowährungsbörsen waren die schlimmsten Fehler nicht allein auf Schwächen der Infrastruktur zurückzuführen. Der Zusammenbruch von FTX im Jahr 2022 war ein Problem bezüglich der Verwaltung und der finanziellen Stabilität – die Kundengelder fehlten einfach nicht. KuCoin wurde 2020 angegriffen, obwohl es mehrere Sicherheitsprüfungen durchlaufen hatte. Sicherheitsaudits sind zu einer Standardmethode zur Marktpräsentation geworden – doch sie sind zwar notwendig, aber nicht ausreichend.

Was diese Ankündigung nicht misst

Drei Arten von Risiken liegen völlig außerhalb des Umfangs eines Penetrationstests. Das Profil von Deepcoin wirft Fragen in allen drei Bereichen auf.

Finanzielle Stabilität.Nach dem Zusammenbruch von FTX wurde die Bestätigung der Reserven zu einem Standardkriterium für die Glaubwürdigkeit der Börsen. Die Kunden müssen wissen, dass ihre Einlagen durch echte Vermögenswerte gesichert sind – und nicht als Handelsgrundlage oder für operative Zwecke verwendet werden. Unabhängige Analysen haben ergeben…Deepcoin veröffentlicht keine auditierten Belege bezüglich der Reserven.Es gibt keine Blockchain-verifizierte Überprüfung der gehaltenen Mittel. Ein Exchange kann zwar sicheren Servern und einem leeren Vault haben.

Regulatorische Grundlagen.Die Pressemitteilung wurde veröffentlicht vonGeorge Town, Cayman Islands.Die juristische Erklärung von Deepcoin behauptet, dass die Vorschriften der Republik Seychellen eingehalten werden.Die Nutzungsbedingungen besagen, dass das Abkommen durch kanadisches Recht geregelt wird. Es wird keine einzelne Gerichtsbarkeit angegeben.Die Plattform hat keine nachweisbaren Lizenzen für große Märkte in den USA, Großbritannien oder der EU. Zudem verhindert sie aktiv, dass US-Benutzer die Plattform nutzen können.Die Cayman Islands verlangen nun von Krypto-Unternehmen, dass sie eine formelle Lizenzierung nach dem Virtual Asset Service Providers Act erhalten.Aber es ist unklar, ob Deepcoin tatsächlich eine solche Einstellung hat. Eine Plattform, die unter wechselnden rechtlichen Regeln operiert, stellt kein Sicherheitsproblem dar – es handelt sich dabei um ein Risiko für die Partnerunternehmen.

Betriebsverfügbarkeit.Die Kundenbewertungen zeigen etwas auf, was keiner Penetrationstest erkennen kann.Deepcoin hat eine Trustpilot-Bewertung von 2,1 von 5 Sternen, basierend auf den verfügbaren Bewertungen. Die Beschwerden betreffen vor allem langsame oder unregelmäßige Auszahlungen sowie Schwierigkeiten bei der Lösung von Unterstützungsproblemen.Der Service bietet nur Live-Chat-Unterstützung – kein E-Mail-Ticket-System.Das macht es ausdrücklich schwierig, die Probleme zu dokumentieren und weiterzuentwickeln. Es handelt sich dabei nicht um solche Fehler, die bei einem Sicherheitscheck erkennbar sind. Sie zeigen sich erst dann, wenn jemand versucht, sein Geld abzuheben – und das System nicht kooperiert.

Die Widersprüche in der Sicherheitsbewertung

Hier ist die Zahl, die unangenehm neben dem Pressemitteilungsteil steht.

CER.live, eine Plattform für Sicherheitsbewertungen, gibt Deepcoin eine Gesamt-Sicherheitsbewertung..Diese Bewertung war aktiv und öffentlich sichtbar bereits vor der Pressemitteilung vom September 2026.Die niedrige Bewertung zeigt Mängel in verschiedenen Bereichen: Es gibt keine aktiven Tests zur Überprüfung der öffentlichen Nutzbarkeit, kein aktiv laufendes Bug-Bounty-Programm und auch keine überprüften Belege für die Reserven. In diesen Kategorien wurde eine Nullbewertung vergeben.

Die Firma, die bei der umfassenden Sicherheitsbewertung 24% erreichte, gibt nun bekannt, dass sie einen Penetrationstest mit einer Firma durchgeführt hat, die gemeinsame Verbindungen zur Plattform hat, auf der Deepcoin vertreten ist. Dadurch könnte die Sicherheit der Plattform verbessert worden sein. In der Pressemitteilung wird nicht angegeben, ob sich die Bewertung geändert hat, welche Kategorien neu bewertet wurden oder ob HackenProof einen unabhängigen Auditschutzbericht für die Plattform von Deepcoin veröffentlicht hat.

Das ist keine Beweis für Unrecht oder Fehlverhalten. Es handelt sich dabei um eine Art Überschneidung, die Investoren untersuchen sollten: Eine Firma, die über ihre Fortschritte in Bezug auf Sicherheit berichtet, durch einen Partner, dessen größere Organisation dieselbe Firma gleichzeitig auf der untersten Ebene der Vertrauenswürdigkeit einstuft.

Der umfassendere Kontext

Deepcoin wurde im Jahr 2018 ins Leben gerufen. Es wird als globale Plattform für Derivats- und Spothandel beschrieben, die über eine Million Nutzer in mehr als 100 Ländern bedient.Es bietetSpothandel, perpetuelle Futures mit bis zu 125-facher Hebel auf Bitcoin und Ethereum – sowie Copy Trading.Sein täglicher Handelsvolumen liegt beiIn den Hunderten Millionen Dollar – CER.live berichtet von 752 Millionen Dollar.

Die Unternehmen haben keine finanziellen Berichte, Umsatzzahlen, Rentabilität oder Finanzierungsrunden bekanntgegeben.Es handelt sich um ein privates Unternehmen, das keine öffentlichen Unterlagen hat, keinen Auditor verfügt und keine transparente Geschäftstätigkeit außerhalb seiner eigenen Marketingmaterialien zeigt.Der Gründer wird in Branchenquellen als Ego Huang identifiziert. Doch offizielle Dokumente geben keine offizielle Führungsstruktur oder eine verifizierbare Unternehmensstruktur an.

Im Handel mit Derivaten kommen die Einnahmen aus Handelsgebühren, Finanzierungsraten für Derivate sowie manchmal auch von den Zinsen, die aus den Kundendepositen erzielt werden. Ein Exchange, der seine finanziellen Daten nicht offenlegt, kann nicht bewertet werden – ob seine Einnahmen aus Handelsgebühren ausreichen, um die Betriebskosten zu decken, ob er überverschuldet ist oder ob die Kundendeposite seine Verluste ausgleichen. Der Penetrationstest sagt nichts darüber aus.

Was man daraus lernen kann

Eine Sicherheitsüberprüfung ist keine Warnung vor Betrug. Es handelt sich dabei um ein Marketingsignal. Die eigentliche Überprüfung eines Kryptowährungshandelsplattforms erfolgt, wenn man die Pressemitteilungen übersieht und stattdessen folgende Fragen stellt:

• Wird die Transaktion Beweise über die Reserven veröffentlichen, die auf der Blockchain nachverifizierbar sind? Deepcoin tut dies nicht.
• Ist es unter klaren regulatorischen Kontrollen in einer erkennbaren Jurisdiktion betrieben? Die rechtliche Struktur von Deepcoin erstreckt sich über drei Länder – ohne eine einzige veröffentlichte Lizenz.
• Berichten die Kunden, dass sie ihre Mittel zuverlässig abheben können? Die Bewertungen deuten auf störende Probleme hin.
• Veröffentlicht die Plattform finanzielle Informationen, damit Investoren beurteilen können, ob das Unternehmen solvent und profitabel ist? Es liegen keine finanziellen Angaben vor.

Der Penetrationstest mit HackenProof hat möglicherweise tatsächlich die echten Sicherheitslücken in der Infrastruktur identifiziert und behoben. Das ist eine legitimäre Maßnahme. Doch sie beantwortet nicht die Fragen, die wirklich entscheiden, ob ein Exchange für Ihr Geld sicher ist. Diese Fragen liegen in den Reserveaudits, den regulatorischen Registrierungen und dem Kundenerlebnis – und keines davon wird in einer Pressemitteilung über Hacker erwähnt, die versucht haben, in das System einzubrechen und dabei aufgehalten wurden.

Für Investoren, die eine Kryptowährungsschnittstelle bewerten, ist die Überprüfung der Vertrauenswürdigkeit nicht darin besteht, ob die „Wände“ gebrochen werden können. Es geht vielmehr darum, ob der „Schatzkasten“ voll ist, wer die Schlüssel hat und ob das System dazu da ist, das Geld sicher zu halten – oder ob es dazu dient, das Geld zu beschäftigen.