Ce que prouve une test d’intrusion… et ce que le communiqué de presse de Deepcoin ne montre pas.

Le communiqué de presse indique que le test s’est bien déroulé. Il ne précise pas quels risques ont été pris lors du test, combien de vulnérabilités ont été découvertes, ou si aucune d’entre elles a pu affecter les fonds des clients. Le document annonce simplement la réussite du test, la collaboration entre les parties concernées et l’engagement pris.

C’est en réalité un audit de sécurité présenté comme une annonce de presse. Pour une bourse de cryptomonnaies qui gère des centaines de millions de transactions par jour, c’est aussi un type d’annonce qui semble rassurante… jusqu’à ce qu’on comprenne ce que mesure réellement un test de pénétration – et ce qu’il ne mesure pas.

La question pour les investisseurs n’est pas de savoir si Deepcoin devrait tester ses systèmes. La question est plutôt ce que cette annonce vous indique au sujet du marché où vous pouvez déposer vos fonds, et ce qu’elle ne vous dit pas délibérément.

Quel est ce que mesure un test d’intrusion ?

Un test de pénétration consiste à envoyer des hackers éthiques contre l’infrastructure d’une plateforme, afin de détecter les vulnérabilités dans son code, ses API, ses contrats intelligents et les applications destinées aux utilisateurs. Il s’agit d’un exercice de cybersécurité. Le résultat est un rapport indiquant les faiblesses et une liste des solutions possibles pour les corriger.

Dans le communiqué de presse, il est indiqué que Deepcoin a fait appel à HackenProof, une plateforme de sécurité basée sur la participation du public, pour effectuer des tests.Sécurité des actifs, sécurité de l’information, le moteur de trading, les interfaces API, les contrats intelligents et les applications côté client.Il est écrit queToutes les vulnérabilités potentielles identifiées lors de l’évaluation ont été étudiées en profondeur et mitigées.Il ne publie pas le rapport, le nombre de vulnérabilités, la répartition des niveaux de sécurité, ni une chronologie des correctifs.

Cette omission est importante, car un test de pénétration prouve une chose : à un moment donné, les testeurs ont cherché des faiblesses, et l’entreprise a corrigé celles qu’ils ont trouvées. Cependant, cela ne confirme pas que l’entreprise possède réellement les fonds déposés par les clients. Il n’est pas prouvé non plus que l’entreprise dispose de l’autorisation réglementaire nécessaire. Ce n’est pas non plus démontré que les retraits seront traités de manière fiable. Il n’est pas non plus abordé le risque lié aux personnes qui connaissent les secrets de l’entreprise. Enfin, cela ne couvre pas les modifications de code apportées après la fin du test.

Dans l’industrie des exchanges de cryptomonnaies, les échecs les plus graves ne sont pas causés uniquement par des problèmes d’infrastructure. La faillite de FTX en 2022 était une catastrophe liée à la gestion et à la solvabilité du service : les fonds des clients n’étaient pas disponibles. KuCoin a été attaquée par un hack en 2020, malgré avoir passé plusieurs audits de sécurité. Les audits de sécurité sont devenus une caractéristique normale pour les services de marketing, car ils sont nécessaires, mais insuffisants.

Ce qui n’est pas mesuré par cette annonce

Trois catégories de risques échappent complètement au champ d’application d’un test de pénétration. Le profil de Deepcoin soulève des questions dans chacune de ces trois catégories.

Solvabilité.Après la faillite de FTX, la preuve des réserves a devenu le critère de crédibilité standard pour les exchanges. Les clients doivent savoir que leurs dépôts sont soutenus par des actifs réels, et non utilisés comme garantie de commerce ou comme capitaux de fonctionnement. Des analyses indépendantes ont montré que…Deepcoin ne publie aucune preuve d’actifs auditée.Aucune vérification des fonds détenus n’est vérifiée par la blockchain. Une bourse peut avoir des serveurs inviolables et un coffre-fort vide.

Base réglementaire.Le communiqué de presse a été publié parGeorge Town, Îles Caïmans.La déclaration juridique de Deepcoin affirme qu’elle respecte les lois de la République des Seychelles.Les conditions d’utilisation indiquent que l’accord est régie par le droit canadien. Aucune juridiction corporative n’est publiée de manière cohérente.Cette plateforme ne possède aucune licence officielle pour les marchés majeurs aux États-Unis, au Royaume-Uni ou dans l’UE. De plus, elle empêche activement les utilisateurs américains d’accéder à la plateforme.Les îles Cayman exigent désormais que les sociétés de cryptomonnaies obtiennent une licence officielle en vertu de la loi sur les prestataires de services d’actifs virtuels.Mais il n’est pas clair si Deepcoin en possède une. Une plateforme de trading qui opère au sein de définition juridiques changeantes ne constitue pas un problème de cybersécurité. C’est plutôt un problème lié aux risques de transaction.

Fiabilité opérationnelle.Les avis des clients montrent ce que les tests de pénétration ne peuvent pas révéler.Deepcoin a une note de 2,1 sur 5 étoiles sur Trustpilot, d’après les avis disponibles. Les réclamations portent principalement sur les retraits lentes ou irréguliers, ainsi que sur la difficulté à résoudre les problèmes liés au service client.L’échange offre uniquement un support par chat en direct – pas de système de ticketing par e-mail.Cela rend la documentation et l’identification des problèmes difficiles. Ce ne sont pas des erreurs qui apparaissent dans les analyses de vulnérabilités. Elles se manifestent lorsque quelqu’un essaie de retirer de l’argent, mais le système ne coopère pas.

Contradiction dans le classement de sécurité

C’est le chiffre qui se trouve de manière inconfortable à côté de la déclaration de presse.

CER.live, une plateforme de notation de sécurité, attribue à Deepcoin un score de sécurité global de.Cette note était active et visible au grand public avant la publication de l’annonce de presse en septembre 2026.Le score faible reflète des insuffisances dans divers domaines : l’absence de tests d’intrusion publics récents, l’absence d’un programme actif de gestion des bugs, et l’absence de preuves auditées concernant les réserves financières. Ces catégories ont donc été notées à zéro.

L’entreprise qui a obtenu une note de 24 % dans l’évaluation complète de la sécurité annonce maintenant avoir effectué un test d’intrusion auprès d’une entreprise ayant des relations institutionnelles avec la plateforme qui lui a attribué cette note D. Ce test a peut-être amélioré les conditions de sécurité. Le communiqué de presse ne précise pas si la note a changé, quelles catégories ont été réévaluées, ou si HackenProof a publié un rapport d’audit indépendant concernant la plateforme Deepcoin.

Ce n’est pas une preuve de mauvaise conduite. C’est plutôt un exemple de situation qui doit être examinée par les investisseurs : une entreprise annonçant des progrès en matière de sécurité, mais dont l’organisation partenaire a simultanément classé cette même entreprise au niveau le plus bas en termes de fiabilité.

Le contexte plus large

Deepcoin a été lancé en 2018. Il se présente comme une plateforme de trading de produits dérivés et de marchés à terme mondiale, qui dessert plus d’un million de utilisateurs dans plus de 100 pays.Il offreTrading spot, contrats à terme perpétuels avec un levier pouvant atteindre 125x pour les cryptomonnaies Bitcoin et Ethereum, ainsi que le trading en copie.Le volume de négociation quotidien est deDes centaines de millions de dollars – CER.live indique 752 millions de dollars.

L’entreprise n’a pas divulgué de états financiers, de chiffres de revenus, de performance économique ou de données relatives aux appels de fonds.C’est une entreprise privée, sans aucune publication en base publique, sans auditeur officiel, et sans transparence institutionnelle, à part ses propres documents de marketing.Le fondateur est identifié par les sources industrielles comme Ego Huang. Cependant, les documents publics ne fournissent pas de liste officielle des dirigeants ou de structure corporative vérifiable.

Dans le secteur des exchanges, les revenus proviennent des frais de transaction, des taux d’investissement sur les produits dérivés, et parfois des intérêts générés par les dépôts des clients. Une exchange qui ne publie pas ses résultats financiers ne peut être évaluée en fonction du niveau de revenus générés par les frais de transaction, ou si elle est sous-endettée au regard de son portefeuille de transactions, ou encore si les dépôts des clients compensent ses pertes. Le test de pénétration ne dit rien à ce sujet.

Qu’on peut en déduire

Un annoncement concernant une vérification de sécurité n’est pas une alerte concernant des fraudes. C’est plutôt un signal marketing. Le véritable travail d’évaluation d’un交易所 de cryptomonnaies se fait lorsque l’on dépasse les communiqués de presse et que l’on se demande :

• L’échange publie-t-il des preuves d’actifs vérifiées, pouvant être vérifiées en ligne ? Deepcoin ne le fait pas.
• Est-ce que cela fonctionne sous une supervision réglementaire claire dans une juridiction reconnaissable ? La structure juridique de Deepcoin s’étend sur trois pays, sans aucune licence publiée.
• Les clients rapportent-ils pouvoir retirer leurs fonds de manière fiable ? Les avis indiquent des problèmes récurrents.
• L’échange publie-il des informations financières, afin que les investisseurs puissent évaluer si l’entreprise est solvable et rentable ? Aucune information financière n’est disponible.

Le test de pénétration effectué avec HackenProof a pu identifier et corriger des vulnérabilités réelles de l’infrastructure. C’est une action légitime. Mais cela ne répond pas aux questions qui sont essentielles pour déterminer si une plateforme financière est sûre pour vos fonds. Ces questions se trouvent dans les audits de contrôle, les registres réglementaires et l’expérience client. Aucun de ces éléments n’apparaît dans les communiqués de presse concernant les pirates qui ont tenté d’intruder, mais qui ont été arrêtés.

Pour les investisseurs qui évaluent une plateforme de cryptomonnaies, le critère de crédibilité ne réside pas dans la possibilité de briser les murs de la plateforme. Il s’agit plutôt de savoir si le coffre est rempli, qui possède les clés, et si l’objectif de la plateforme est de protéger vos fonds ou de les utiliser pour des fins commerciales.