Lo que demuestra una prueba de penetración… y lo que no dice el comunicado de prensa de Deepcoin.

El comunicado de prensa dice que Deepcoin ha superado el proceso de pruebas. No indica qué se puso en riesgo cuando comenzaron las pruebas, cuántas vulnerabilidades se encontraron, ni si alguna de ellas pudo haber llegado a los fondos de los clientes. Se anuncia simplemente la finalización, la colaboración y el compromiso.

Se trata de una auditoría de seguridad que se presenta como un comunicado de prensa. Para una plataforma de intercambio de criptomonedas que maneja cientos de millones en volumen diario de transacciones, este tipo de anuncio suena reconfortante… hasta que se analiza qué realmente mide un test de penetración y qué no lo hace.

La pregunta para los inversores no es si Deepcoin debe probar sus sistemas. La pregunta es lo que este anuncio nos dice sobre el exchange en el que podrían guardar su dinero, y lo que deliberadamente no nos dice.

Qué mide un prueba de penetración.

Un prueba de penetración consiste en enviar a los cibercriminales éticos hacia la infraestructura de una plataforma, con el objetivo de encontrar vulnerabilidades en su código, APIs, contratos inteligentes y aplicaciones accesibles para los usuarios. Se trata de un ejercicio de seguridad cibernética. El resultado es un informe sobre las debilidades y una lista de soluciones posibles.

El comunicado de prensa indica que Deepcoin contó con la ayuda de HackenProof, una plataforma de seguridad basada en colaboración entre usuarios, para realizar pruebas.Seguridad de activos, seguridad de información, el motor de trading, interfaces de API, contratos inteligentes y aplicaciones del lado del cliente.Dice queTodas las vulnerabilidades potenciales identificadas durante la evaluación fueron analizadas detenidamente y mitigadas.No publica el informe, la cantidad de vulnerabilidades, la distribución de su gravedad, ni un cronograma de soluciones.

Esa omisión es importante, porque un test de penetración demuestra algo: en un momento específico, los testers buscaron las debilidades del sistema, y la empresa corrigió las que encontraron. Pero no verifica si la empresa realmente mantiene los depósitos de los clientes que afirma tener. Tampoco confirma la autorización regulatoria necesaria. No demuestra que las retiros se procesen de manera confiable. Tampoco aborda el riesgo de personas internas. Tampoco cubre los cambios en el código realizados después de que el test termine.

En la industria de las bolsas de criptomonedas, los fracasos más graves no se debieron únicamente a vulnerabilidades en la infraestructura. La quiebra de FTX en 2022 fue un desastre relacionado con la gobernanza y la solvencia: no había fondos para los clientes. KuCoin también sufrió ataques informáticos en 2020, a pesar de haber superado varias evaluaciones de seguridad. Los auditados de seguridad se han convertido en una especie de credencial de marketing estándar, precisamente porque son necesarios, pero insuficientes por sí solos.

Lo que este anuncio no mide

Tres categorías de riesgos están completamente fuera del alcance de un análisis de penetración. El perfil de Deepcoin plantea preguntas en las tres categorías.

Solvencia.Después del colapso de FTX, la verificación de las reservas se convirtió en un requisito esencial para garantizar la credibilidad de los exchanges. Los clientes deben saber que sus depósitos están respaldados por activos reales, y no son utilizados como garantía de comercio o como capital operativo. Análisis independientes han demostrado que…Deepcoin no publica ningún comprobante auditado de sus reservas.No hay verificación basada en el blockchain para los fondos que se retienen. Una bolsa de valores puede tener servidores seguros y un depósito vacío.

Base regulatoria.El comunicado de prensa fue emitido desdeGeorge Town, Islas Caimán.La declaración legal de Deepcoin afirma que cumple con las leyes de la República de Seychelles.En los términos de uso se indica que el acuerdo está regido por la ley canadiense. No se publica de forma consistente ninguna jurisdicción corporativa específica.La plataforma no cuenta con licencias válidas en los mercados principales de los Estados Unidos, el Reino Unido o la UE. Además, bloquea activamente a los usuarios estadounidenses de acceder a la plataforma.Las Islas Caimán ahora exigen que las empresas de cripto obtengan licencias formales según la Ley de Proveedores de Servicios de Activos Virtuales.Pero no está claro si Deepcoin posee uno. Una plataforma de intercambio que opera bajo definiciones legales cambiantes no es un problema de ciberseguridad. Se trata, más bien, de un problema de riesgo de contraparte.

Fiabilidad operativa.Las reseñas de los clientes nos muestran algo que ningún test de penetración puede capturar.Deepcoin tiene una calificación de Trustpilot de 2.1 de 5 estrellas, según los comentarios disponibles. Las quejas se refieren a retiros lentos o inconsistentes y a dificultades en la resolución de problemas de soporte.El servicio de intercambio ofrece solo soporte por chat en tiempo real; no hay sistema de gestión de tickets por correo electrónico.Esto hace que sea difícil documentar y reportar los problemas. No se trata de fallos que aparezcan en las auditorías de vulnerabilidades. Estos problemas se manifiestan cuando alguien intenta retirar su dinero, pero el sistema no coopera.

La contradicción en la calificación de seguridad

Ese es el número que se encuentra de manera incómoda junto al comunicado de prensa.

CER.live, una plataforma de calificación de seguridad, asigna a Deepcoin una calificación general de seguridad de.Esta calificación estaba activa y visible públicamente antes del comunicado de prensa de septiembre de 2026.La puntuación baja refleja deficiencias en varios aspectos, como la ausencia de pruebas de penetración pública recientes, la falta de un programa activo para detectar bugs, y la ausencia de pruebas auditadas de reservas. En esas categorías, la puntuación es cero.

La empresa que realizó el examen de seguridad obtuvo un puntaje del 24% en la evaluación integral de seguridad. Ahora anuncian que han completado una prueba de penetración con una empresa que tiene vínculos institucionales con la plataforma que les dio ese puntaje D. Es posible que esa prueba haya mejorado las condiciones de seguridad de la plataforma. El comunicado de prensa no indica si el puntaje ha cambiado, qué categorías han sido reevaluadas, ni si HackenProof ha publicado un informe de auditoría independiente sobre la plataforma de Deepcoin.

Esto no es prueba de mala conducta. Se trata de ese tipo de situaciones que los inversores deben analizar: una empresa que anuncia avances en seguridad, a través de un socio cuya organización más amplia también califica a esa misma empresa como de baja calidad en términos de confianza.

El contexto más amplio

Deepcoin se lanzó en 2018 y se describe como una plataforma global de trading de derivados y mercados físicos que atiende a más de un millón de usuarios en más de 100 países.OfreceComercio en tiempo real, futuros perpétuos con una apalancamiento de hasta 125 veces para Bitcoin y Ethereum, y sistema de copia de operaciones.Su volumen de negociación diario es…En cientos de millones de dólares… CER.live reporta 752 millones de dólares.

La empresa no ha divulgado informes financieros, cifras de ingresos, rentabilidad ni información sobre las rondas de financiación.Es una empresa de propiedad privada que no realiza ningún registro público, no cuenta con un auditor registrado, y no tiene transparencia institucional alguna, aparte de sus propios materiales de marketing.El fundador es identificado por fuentes del sector como Ego Huang, pero los documentos públicos no proporcionan una página oficial de liderazgo ni una estructura corporativa verificable.

En el negocio de las bolsas de valores, los ingresos provienen de las comisiones de negociación, las tasas de financiamiento de los derivados y, a veces, los intereses obtenidos de los depósitos de clientes. Una bolsa de valores que no publica sus estados financieros no puede ser evaluada en cuanto a si sus ingresos por comisiones son suficientes para cubrir los costos operativos, si está sobreendeudada con respecto a su cartera de inversiones o si los depósitos de clientes ayudan a compensar sus pérdidas. El prueba de penetración no dice nada sobre ninguno de estos aspectos.

¿Qué se puede extraer de esto?

Un anuncio de auditoría de seguridad no es una advertencia sobre fraude. Es un signo de marketing. El verdadero trabajo de evaluar una plataforma de intercambio de criptomonedas ocurre cuando se pasa por encima del comunicado de prensa y se preguntan las siguientes preguntas:

• ¿Publica la plataforma las pruebas auditadas de las reservas, que puedan ser verificadas en la cadena de bloques? Deepcoin no lo hace.
• ¿Opera bajo una supervisión regulatoria clara en una jurisdicción reconocida? La estructura legal de Deepcoin abarca tres países, y no existe ninguna licencia publicada para su operación.
• ¿Los clientes informan que pueden retirar sus fondos de manera confiable? Las reseñas sugieren que hay problemas constantes en el proceso de retirada.
• ¿Publica la empresa información financiera, de modo que los inversores puedan evaluar si la empresa es sostenible y rentable? No hay ninguna información financiera disponible.

El prueba de penetración realizado con HackenProof podría haber identificado y corregido las vulnerabilidades reales en la infraestructura del sitio web. Es una medida legítima. Pero no resuelve las preguntas que realmente determinan si un exchange es seguro para tu dinero. Esas preguntas se relacionan con las auditorías de seguridad, los registros regulatorios y la experiencia del cliente. Y ninguna de ellas aparece en los comunicados de prensa sobre los ciberdelincuentes que intentaron acceder al sistema y fueron detenidos.

Para los inversores que evalúan cualquier plataforma de criptomonedas, la prueba de confianza no está en si es posible romper las barreras que rodean esa plataforma. La prueba real es si el “cofre” está lleno, quién tiene las llaves y si la motivación de la plataforma es proteger tu dinero o mantenerlo ocupado.