¿Es seguro DPT Pay?

Qué significa realmente «seguro» en una fintech no bancaria

DPT Pay es una empresa de tecnología financiera, no un banco. Los depósitos en DPT Pay no están cubiertos por sistemas de garantía de depósitos bancarios como el Hong Kong Deposit Protection Scheme, la FDIC en EE. UU., el FSCS en el Reino Unido u otros equivalentes. Preguntar «¿es seguro DPT Pay?» igual que preguntarías «¿está asegurada por la FDIC esta cuenta de ahorro?» lleva a una respuesta equivocada.

El enfoque correcto es el mismo que aplican los reguladores a cualquier entidad de pago no bancaria: ¿tiene licencia y está supervisado el operador?, ¿está autorizado por la red el emisor de la tarjeta?, ¿está regulado el custodio?, ¿están segregados los fondos de los clientes de los fondos operativos?, y ¿qué controles a nivel de cuenta protegen al usuario frente al fraude de terceros? Cada una de estas preguntas es un frente de seguridad distinto. DPT Pay tiene una respuesta documentada para cada uno.

Las secciones siguientes recorren cada capa por orden, nombrando a los socios reales (U.S. Bank, BitGo) y el perímetro regulatorio real (licencia TCSP de Hong Kong conforme a la AMLO Cap. 615), no con tono de marketing, sino con el lenguaje que usa el Centro de ayuda.

Fuente: Centro de ayuda de DPT — ¿Es DPT un banco?

La capa de licencias: TCSP de Hong Kong conforme a la AMLO Cap. 615

DPT Pay está operado por DPT (HK) Limited, una sociedad de Hong Kong. DPT (HK) Limited tiene una licencia de proveedor de servicios fiduciarios o societarios (Trust or Company Service Provider, TCSP) conforme a la Anti-Money Laundering and Counter-Terrorist Financing Ordinance (AMLO), Cap. 615, la ordenanza contra el blanqueo de capitales y la financiación del terrorismo que regula las obligaciones de AML/CFT de los operadores de servicios financieros no bancarios en Hong Kong.

La licencia TCSP la administran el Registro Mercantil de Hong Kong (Companies Registry) y el Departamento de Aduanas e Impuestos Especiales (Customs and Excise Department). Tenerla significa que DPT Pay está obligado a: identificar y verificar la identidad de todos sus clientes (KYC completo, sin atajos por niveles), supervisar las transacciones en busca de actividad sospechosa, presentar informes de transacciones sospechosas cuando proceda, conservar los registros de clientes durante los plazos que fija la AMLO y someter su programa de AML/CFT a la revisión de los reguladores. No convierte a DPT Pay en un banco ni amplía a sus clientes la garantía de depósitos, pero sí sitúa a DPT Pay dentro de un perímetro supervisado, y no fuera de él.

Para una fintech que trabaja con stablecoins, la licencia importa en la operativa más allá del cumplimiento de cara a la galería: obliga a un KYC real, a un control real de sanciones en cada transacción (véase KYT más abajo) y a un régimen real de comunicación a los reguladores cuando algo sale mal.

Fuentes: Centro de ayuda de DPT — ¿Quién gestiona DPT?, Centro de ayuda de DPT — ¿Dónde tiene su sede DPT?, Centro de ayuda de DPT — ¿Qué licencia tiene DPT?

La capa de emisión de la tarjeta: U.S. Bank bajo licencia de Visa

La tarjeta Visa de DPT la emite U.S. Bank bajo licencia de Visa. Es la arquitectura estándar de «marca fintech por delante, emisor regulado por detrás» que utilizan la mayoría de las fintech emisoras de tarjetas. DPT Pay no gestiona directamente un programa de tarjetas: trabaja con U.S. Bank, que es el miembro principal de Visa responsable de la propia tarjeta, de los derechos de contracargo, del proceso de disputas y del perímetro regulatorio que conlleva ser emisor de tarjetas.

Lo que esto aporta a los titulares: se aplica la protección estándar de Visa contra el fraude con responsabilidad cero, se aplican los derechos de contracargo estándar, la tarjeta funciona por las mismas redes de Visa que cualquier otra tarjeta Visa Platinum o Visa Infinite en los terminales de los comercios de todo el mundo, y las disputas siguen las mismas normas del esquema de Visa. La tarjeta no es un producto distinto porque en el anverso ponga «DPT Pay» en lugar del nombre de un banco.

Fuente: Centro de ayuda de DPT — ¿Quién emite la tarjeta de DPT?

La capa de custodia: BitGo

Las stablecoins (USDC y USDT) depositadas en una cuenta de DPT están en custodia en BitGo. BitGo es uno de los mayores custodios regulados de activos digitales, con una larga trayectoria en almacenamiento en frío, gestión de claves multifirma y segregación de activos institucionales. DPT Pay no custodia directamente las criptomonedas de los clientes en su propia infraestructura: los activos están en BitGo, bajo el marco de custodia regulada de BitGo, y DPT Pay actúa como operador de la cuenta.

Esta separación importa: aunque los sistemas operativos de DPT Pay se vieran comprometidos, los activos de los clientes los tiene un custodio regulado independiente, sin mezclarse con las claves propias de la plataforma. Es la misma arquitectura que usan la mayoría de los programas de tarjetas de stablecoins que cumplen la normativa: la fintech mantiene la relación con el usuario y el programa de tarjetas, y el custodio regulado guarda los activos.

Fuente: Centro de ayuda de DPT — ¿Está mi dinero asegurado o protegido?

Segregación de fondos

Los fondos de los clientes se mantienen separados de los fondos operativos propios de DPT Pay. Es una consecuencia clave de recurrir a un custodio regulado: los activos que BitGo guarda para los clientes de DPT Pay se contabilizan por separado de cualquier activo que DPT Pay utilice para gestionar su negocio. La segregación es lo que hace posible lo que se explica en la sección siguiente.

La segregación no es lo mismo que la garantía de depósitos. Si la propia infraestructura de un custodio se viera comprometida en la capa de los activos, la segregación por sí sola no resarciría a los clientes: para eso están el seguro del custodio, la disciplina del almacenamiento en frío y los controles operativos. Pero la segregación sí garantiza que los activos de los clientes no formen parte del balance propio de DPT Pay, lo que significa que no son los primeros en absorber pérdidas si la empresa atraviesa dificultades.

Fuentes: Centro de ayuda de DPT — ¿Está mi dinero asegurado o protegido?, Centro de ayuda de DPT — ¿Qué pasa con mi dinero si DPT cierra?

Seguridad a nivel de cuenta

Las capas de licencias y custodia descritas protegen a los clientes frente al riesgo sistémico. La capa de la cuenta protege a cada usuario frente al fraude dirigido, el phishing y el robo de credenciales. Aquí DPT Pay utiliza el conjunto de herramientas estándar de una fintech moderna:

• Autenticación de dos factores (2FA) mediante llave de acceso (passkey) o app de autenticación. Se activa desde Perfil (Profile) → Seguridad (Security) en la app. Si pierdes el acceso a tu dispositivo de 2FA, tu correo electrónico registrado es el canal de recuperación.

• Código antiphishing: una palabra o frase personalizada que solo conoces tú y que aparece en todos los correos oficiales que envía DPT Pay. Si un correo dice ser de DPT pero no contiene tu código, no es de DPT.

• Notificaciones de gasto en tiempo real: cada transacción con la tarjeta genera una notificación push inmediata, así que cualquier uso no autorizado se detecta en segundos.

• Supervisión KYT (Know Your Transaction): cada transacción se analiza en tiempo real en busca de infracciones de sanciones, indicios de fraude y patrones de actividad ilícita. No requiere ninguna acción por parte del usuario.

• Bloqueo de la cuenta: cinco intentos de contraseña incorrectos bloquean automáticamente el inicio de sesión durante 24 horas. Tu tarjeta sigue activa durante el bloqueo; solo se restringe el inicio de sesión.

• Bloqueo de la tarjeta: tres intentos fallidos de CVV / fecha de caducidad / PIN en el terminal activan un bloqueo de la tarjeta de 24 horas, independiente del estado de la cuenta.

Una salvaguarda de comportamiento importante: DPT Pay nunca te pedirá tu contraseña, el número completo de la tarjeta, el CVV ni la frase de recuperación de tu monedero. Cualquier mensaje que lo haga no procede de DPT y debe denunciarse.

Fuentes: Centro de ayuda de DPT — Autenticación de dos factores, Centro de ayuda de DPT — Código antiphishing, Centro de ayuda de DPT — Notificaciones de gasto, Centro de ayuda de DPT — Supervisión de transacciones KYT, Centro de ayuda de DPT — ¿Me pide DPT alguna vez la contraseña o el CVV?

Si pierdes la tarjeta, te la roban o queda comprometida

La respuesta más rápida es congelar la tarjeta directamente en la app de DPT, sin necesidad de abrir una incidencia con el soporte. Mientras está congelada, no se procesa ninguna transacción. Puedes descongelarla tú mismo en cualquier momento cuando encuentres la tarjeta o actives una de sustitución.

Congelar no es lo mismo que bloquear. El bloqueo es automático y lo activan tres intentos fallidos de CVV / fecha de caducidad / PIN en el terminal; se levanta al cabo de 24 horas sin intervención. La congelación es manual, la activas tú en la app y no tiene límite de tiempo. Congela la tarjeta cuando sospeches que está comprometida. Considera el bloqueo automático una red de seguridad en la que no tienes que pensar.

Si ya se han contabilizado cargos no autorizados: congela la tarjeta y contacta con el soporte indicando los datos de la transacción (fecha, importe, comercio). Los contracargos deben presentarse en un plazo de 60 días desde la fecha de contabilización en el extracto. Después, la disputa sigue las normas estándar del esquema de Visa, el mismo proceso que con cualquier tarjeta Visa.

Si sospechas que tu propia cuenta (no solo la tarjeta) se ha visto comprometida: congela la tarjeta, cambia la contraseña con «He olvidado mi contraseña» (Forgot Password) en la pantalla de inicio de sesión, activa la 2FA si no lo está ya y revisa tu historial reciente de transacciones. Denuncia los cargos que no reconozcas mediante el proceso de disputa descrito arriba.

Fuentes: Centro de ayuda de DPT — ¿Cómo congelo mi tarjeta?, Centro de ayuda de DPT — ¿Por qué se ha bloqueado mi tarjeta?, Centro de ayuda de DPT — ¿Cómo denuncio un cargo fraudulento o no autorizado?, Centro de ayuda de DPT — Creo que han hackeado mi cuenta

Si DPT Pay cierra

Como los fondos de los clientes los guarda un custodio regulado (BitGo) y se contabilizan por separado de los fondos operativos propios de DPT Pay, una interrupción del negocio a nivel de DPT Pay no mezcla los activos de los clientes con los activos corporativos de DPT Pay. El custodio sigue guardando los activos con independencia de la situación corporativa de DPT Pay.

Es el modelo estándar de custodia en las fintech no bancarias, y difiere sustancialmente de la forma en que un banco mantiene los depósitos. En un banco, tu depósito es un pasivo del banco y está protegido por la garantía estatal de depósitos hasta un límite. En una fintech no bancaria que utiliza custodia regulada, tus activos no son un pasivo de la fintech: son tus activos, guardados por el custodio, y la fintech es el operador de la plataforma. No hay garantía estatal, pero los activos tampoco son partidas del balance de la empresa.

La conclusión honesta: el riesgo de cierre es real y existe, pero la arquitectura de segregación está diseñada para que el riesgo de cierre no equivalga al riesgo de perder los fondos, como ocurriría si los activos estuvieran mezclados.

Fuente: Centro de ayuda de DPT — ¿Qué pasa con mi dinero si DPT cierra?

Dónde DPT Pay no es seguro: límites honestos

Tres ámbitos en los que «seguro» significa necesariamente «menos que un banco»:

1. Sin garantía estatal de depósitos. DPT Pay no es un banco. Tu saldo no está cubierto por el DPS de Hong Kong, la FDIC de EE. UU., el FSCS del Reino Unido ni ningún equivalente. Existen salvaguardas a nivel del custodio, pero no equivalen a una garantía estatal.
2. El riesgo de la stablecoin se traslada al usuario. Tu saldo está en USDC o USDT. El riesgo de pérdida de paridad, el riesgo del emisor (Circle en el caso de USDC, Tether en el de USDT) y el riesgo a nivel de cadena de la red en la que estuviera tu depósito no desaparecen porque DPT Pay mantenga el activo a través de BitGo: son inherentes a las propias stablecoins.
3. Puede haber congelaciones por cumplimiento normativo. El KYT realiza controles de sanciones y de fraude en tiempo real. Las transacciones legítimas no se ven afectadas, pero un depósito cuyo origen esté marcado puede congelarse mientras se revisa. Es una característica de estar dentro de un perímetro regulado, no un fallo, pero limita de verdad la idea de «puedo retirar cuando quiera».

Nada de esto hace que DPT Pay sea inseguro en términos absolutos. Sí significa que la pregunta no es «¿es seguro?», sino «¿es este modelo de seguridad el adecuado para mi caso de uso?». Para gastar stablecoins en el día a día por la red de Visa, con custodia, segregación y un operador regulado detrás, sí. Para guardar los ahorros de toda una vida como lo harías en un banco con cobertura de la FDIC, no: eso no es lo que es ninguna plataforma de stablecoins no bancaria.

Preguntas frecuentes

¿Está regulado DPT Pay?

Sí, dentro de su perímetro. DPT (HK) Limited tiene una licencia TCSP de Hong Kong conforme a la AMLO Cap. 615. El emisor de la tarjeta (U.S. Bank) es un miembro principal con licencia de Visa. El custodio (BitGo) es un proveedor regulado de custodia de activos digitales. DPT Pay en sí no es un banco ni está regulado como tal.

¿Está asegurado mi dinero si DPT Pay quiebra?

No mediante un sistema de garantía de depósitos bancarios. DPT Pay no es un banco, y los saldos no están cubiertos por el Hong Kong Deposit Protection Scheme, la FDIC, el FSCS ni sistemas equivalentes. Los fondos de los clientes están en custodia regulada en BitGo y segregados de los fondos operativos propios de DPT Pay, de modo que una interrupción del negocio a nivel de DPT Pay no mezcla los activos de los clientes con los activos de la empresa. Pero la segregación no es lo mismo que una garantía estatal, y la diferencia importa.

¿Ha sufrido DPT Pay algún hackeo?

El historial público de incidentes no forma parte del contenido del Centro de ayuda, así que no vamos a afirmar aquí que el historial esté limpio. Los controles a nivel de cuenta —2FA, código antiphishing, supervisión KYT, notificaciones de gasto en tiempo real, congelación manual de la tarjeta— son las defensas de cada usuario. En esta categoría, los compromisos a nivel de cuenta (phishing, reutilización de credenciales, dispositivos perdidos) son mucho más frecuentes que los compromisos de la plataforma; la estructura de seguridad está diseñada en consecuencia.

¿Puede DPT Pay congelar mi cuenta?

Sí, en circunstancias concretas. La supervisión KYT (Know Your Transaction, «conoce tu transacción») analiza cada transacción en busca de infracciones de sanciones, indicios de fraude y patrones de actividad ilícita. Una transacción marcada puede dejar en pausa una retirada mientras se revisa. Es un requisito regulatorio conforme a la AMLO Cap. 615, no una política discrecional, y se aplica a cualquier entidad de pago no bancaria que cumpla la normativa y opere en Hong Kong.

¿Qué diferencia hay entre congelar y bloquear mi tarjeta?

La congelación es manual: la activas tú en la app, no tiene límite de tiempo y la levantas tú cuando quieras. Úsala si sospechas que la tarjeta está comprometida. El bloqueo es automático: lo activan tres intentos fallidos de CVV / fecha de caducidad / PIN en el terminal, se levanta solo al cabo de 24 horas y no requiere ninguna intervención. Mientras están activos, ambos impiden las transacciones.

Artículos relacionados

• ¿Qué es DPT Pay? — la guía principal completa sobre la marca (entidad, licencias, socios, precios)
• Qué es una tarjeta cripto — cómo funcionan en general las tarjetas de stablecoins en la red de Visa
• Cómo procesa una transacción una tarjeta de stablecoins
• Custodial o no custodial — quién tiene realmente tus fondos
• Centro de ayuda de DPT — Seguridad y cuenta — las 12 preguntas frecuentes completas sobre seguridad