DPT Pay est-il sûr ?

Ce que « sûr » signifie réellement pour une fintech non bancaire

DPT Pay est une entreprise de technologie financière, pas une banque. Les dépôts détenus chez DPT Pay ne sont pas couverts par des systèmes de garantie des dépôts bancaires comme le Deposit Protection Scheme de Hong Kong, la FDIC aux États-Unis, le FSCS au Royaume-Uni ou leurs équivalents ailleurs. Se demander « DPT Pay est-il sûr ? » comme on se demanderait « ce compte d’épargne est-il garanti par la FDIC ? » mène à une mauvaise réponse.

Le bon cadre d’analyse est celui qu’utilisent les régulateurs pour tout établissement de paiement non bancaire : l’opérateur est-il agréé et supervisé, l’émetteur de la carte est-il autorisé par le réseau, le dépositaire est-il régulé, les fonds des clients sont-ils séparés des fonds d’exploitation, et quels contrôles au niveau du compte protègent l’utilisateur contre la fraude de tiers ? Chacun de ces points constitue un volet distinct de la sécurité. DPT Pay apporte une réponse documentée à chacun d’eux.

Les sections ci-dessous passent en revue chaque niveau dans l’ordre, en nommant les partenaires réels (U.S. Bank, BitGo) et le périmètre réglementaire réel (licence TCSP de Hong Kong au titre de l’AMLO Cap. 615), non pas sur un ton marketing, mais dans les termes qu’emploie le centre d’aide.

Source : Centre d’aide DPT — DPT est-il une banque ?

Le niveau de la licence — TCSP de Hong Kong au titre de l’AMLO Cap. 615

DPT Pay est exploité par DPT (HK) Limited, une société de Hong Kong. DPT (HK) Limited détient une licence de Trust or Company Service Provider (TCSP) au titre de l’Anti-Money Laundering and Counter-Terrorist Financing Ordinance (AMLO), Cap. 615, le texte qui régit les obligations de lutte contre le blanchiment et le financement du terrorisme (AML/CFT) des opérateurs de services financiers non bancaires à Hong Kong.

La licence TCSP est administrée par le Companies Registry et le Customs and Excise Department de Hong Kong. Sa détention oblige DPT Pay à : identifier et vérifier l’identité de chaque client (un KYC complet, pas un raccourci par niveaux), surveiller les transactions pour détecter les activités suspectes, déclarer les transactions suspectes lorsque c’est requis, conserver les dossiers clients pendant les durées fixées par l’AMLO, et soumettre son programme AML/CFT au contrôle des régulateurs. Elle ne fait pas de DPT Pay une banque et n’étend pas la garantie des dépôts, mais elle place DPT Pay à l’intérieur d’un périmètre supervisé plutôt qu’à l’extérieur.

Pour une fintech qui manipule des stablecoins, la licence a une portée opérationnelle qui dépasse l’affichage de conformité : elle impose un véritable KYC, un véritable filtrage des sanctions sur chaque transaction (voir KYT ci-dessous) et un véritable régime de déclaration aux régulateurs en cas de problème.

Sources : Centre d’aide DPT — Qui exploite DPT ?, Centre d’aide DPT — Où DPT est-il établi ?, Centre d’aide DPT — De quelle licence DPT dispose-t-il ?

Le niveau de l’émission de la carte — U.S. Bank sous licence Visa

La carte Visa DPT est émise par U.S. Bank sous licence de Visa. C’est l’architecture standard « marque fintech en façade, émetteur régulé en coulisses » qu’utilisent la plupart des fintechs émettrices de cartes. DPT Pay ne gère pas directement de programme de cartes : il s’associe à U.S. Bank, le membre principal de Visa responsable de la carte elle-même, des droits de rétrofacturation, de la procédure de litige et du périmètre réglementaire qui accompagne le statut d’émetteur de cartes.

Ce que cela apporte aux titulaires de la carte : la protection standard de Visa contre la fraude à responsabilité nulle (zero liability) s’applique, les droits de rétrofacturation standard s’appliquent, la carte fonctionne sur les mêmes réseaux Visa que n’importe quelle autre carte Visa Platinum ou Visa Infinite aux terminaux des commerçants du monde entier, et les litiges suivent les mêmes règles du réseau Visa. La carte n’est pas un produit différent parce que la marque affichée en façade est « DPT Pay » plutôt que le nom d’une banque.

Source : Centre d’aide DPT — Qui émet la carte DPT ?

Le niveau de la conservation — BitGo

Les stablecoins (USDC et USDT) déposés sur un compte DPT sont conservés par BitGo. BitGo est l’un des plus grands dépositaires régulés d’actifs numériques, avec une longue expérience du stockage à froid, de la gestion de clés multisignatures et de la ségrégation d’actifs institutionnels. DPT Pay ne conserve pas directement les cryptos de ses clients sur sa propre infrastructure : les actifs se trouvent chez BitGo, dans le cadre de conservation régulé de BitGo, DPT Pay agissant comme opérateur du compte.

Cette répartition compte : même si les systèmes opérationnels de DPT Pay étaient compromis, les actifs des clients sont détenus par un dépositaire régulé indépendant plutôt que mélangés aux clés propres de la plateforme. C’est la même architecture que celle de la plupart des programmes de cartes stablecoin en conformité : la fintech gère la relation utilisateur et le programme de cartes, le dépositaire régulé détient les actifs.

Source : Centre d’aide DPT — Mon argent est-il assuré ou protégé ?

La ségrégation des fonds

Les fonds des clients sont détenus séparément des fonds opérationnels propres de DPT Pay. C’est une conséquence essentielle du recours à un dépositaire régulé : les actifs que BitGo détient pour les clients de DPT Pay sont comptabilisés séparément de tous les actifs que DPT Pay utilise pour faire fonctionner son activité. C’est cette ségrégation qui rend vraie la section suivante.

La ségrégation n’équivaut pas à une garantie des dépôts. Si l’infrastructure propre d’un dépositaire était compromise au niveau des actifs, la ségrégation ne suffirait pas à elle seule à indemniser intégralement les clients : c’est le rôle de l’assurance du dépositaire, de la discipline du stockage à froid et des contrôles opérationnels. Mais la ségrégation garantit que les actifs des clients ne font pas partie du bilan propre de DPT Pay, ce qui signifie qu’ils ne sont pas les premiers à absorber les pertes en cas de difficultés de l’entreprise.

Sources : Centre d’aide DPT — Mon argent est-il assuré ou protégé ?, Centre d’aide DPT — Qu’advient-il de mon argent si DPT cesse ses activités ?

La sécurité au niveau du compte

Les niveaux de la licence et de la conservation décrits ci-dessus protègent les clients contre le risque systémique. Le niveau du compte protège chaque utilisateur contre la fraude ciblée, l’hameçonnage et le vol d’identifiants. Le dispositif de DPT Pay est ici l’équipement standard d’une fintech moderne :

• Authentification à deux facteurs (2FA) par clé d’accès (passkey) ou application d’authentification. Elle s’active depuis Profil (Profile) → Sécurité (Security) dans l’app. Si vous perdez l’accès à votre appareil 2FA, votre adresse e-mail enregistrée sert de canal de récupération.

• Code anti-hameçonnage : un mot ou une phrase personnalisés que vous seul connaissez, inclus dans chaque e-mail officiel envoyé par DPT Pay. Si un e-mail prétend venir de DPT mais ne contient pas votre code, il ne vient pas de DPT.

• Notifications de dépense en temps réel : chaque transaction par carte déclenche une notification push immédiate, de sorte que toute utilisation non autorisée est visible en quelques secondes.

• Surveillance KYT (Know Your Transaction) : chaque transaction est contrôlée en temps réel pour détecter les violations de sanctions, les indicateurs de fraude et les schémas d’activité illégale. Aucune action de l’utilisateur n’est requise.

• Verrouillage du compte : cinq tentatives de mot de passe erronées verrouillent automatiquement l’accès à la connexion pendant 24 heures. Votre carte reste active pendant le verrouillage ; seule la connexion est restreinte.

• Verrouillage de la carte : trois tentatives erronées de CVV / date d’expiration / code PIN au terminal déclenchent un verrouillage de la carte pendant 24 heures, indépendamment du statut du compte.

Un garde-fou comportemental important : DPT Pay ne vous demandera jamais votre mot de passe, le numéro complet de votre carte, votre CVV ou la phrase de récupération de votre portefeuille. Tout message qui le fait ne vient pas de DPT et doit être signalé.

Sources : Centre d’aide DPT — Authentification à deux facteurs, Centre d’aide DPT — Code anti-hameçonnage, Centre d’aide DPT — Notifications de dépense, Centre d’aide DPT — Surveillance des transactions KYT, Centre d’aide DPT — DPT demande-t-il parfois mon mot de passe ou mon CVV ?

Si votre carte est perdue, volée ou compromise

La réaction la plus rapide consiste à geler la carte directement dans l’app DPT, sans ticket au support. Tant qu’elle est gelée, aucune transaction n’est traitée. Vous pouvez la dégeler vous-même à tout moment, lorsque vous retrouvez la carte ou activez une carte de remplacement.

Le gel est différent du verrouillage. Le verrouillage est automatique, déclenché par trois tentatives erronées de CVV / date d’expiration / code PIN au terminal ; il se lève au bout de 24 heures sans intervention. Le gel est manuel, déclenché par vous dans l’app, sans limite de durée. Utilisez le gel lorsque vous soupçonnez une compromission. Considérez le verrouillage automatique comme un filet de sécurité auquel vous n’avez pas à penser.

Pour les débits non autorisés déjà enregistrés : gelez la carte, puis contactez le support avec les détails de la transaction (date, montant, commerçant). Les rétrofacturations doivent être demandées dans les 60 jours suivant la date d’inscription sur le relevé. Le litige suit ensuite les règles standard du réseau Visa, la même procédure que pour toute carte Visa.

Si vous soupçonnez que votre compte lui-même (et pas seulement la carte) a été compromis : gelez la carte, changez votre mot de passe via « Mot de passe oublié » (Forgot Password) sur l’écran de connexion, activez la 2FA si ce n’est pas déjà fait et examinez l’historique de vos transactions récentes. Signalez les débits que vous ne reconnaissez pas via la procédure de litige décrite ci-dessus.

Sources : Centre d’aide DPT — Comment geler ma carte ?, Centre d’aide DPT — Pourquoi ma carte a-t-elle été verrouillée ?, Centre d’aide DPT — Comment signaler un débit frauduleux ou non autorisé ?, Centre d’aide DPT — Je pense que mon compte a été piraté

Si DPT Pay cesse ses activités

Comme les fonds des clients sont détenus par un dépositaire régulé (BitGo) et comptabilisés séparément des fonds opérationnels propres de DPT Pay, une perturbation de l’activité au niveau de DPT Pay ne mélange pas les actifs des clients avec les actifs de l’entreprise DPT Pay. Le dépositaire continue de détenir les actifs indépendamment de la situation de l’entreprise DPT Pay.

C’est le dispositif standard de conservation des fintechs non bancaires, et il diffère sensiblement de la manière dont une banque détient les dépôts. Dans une banque, votre dépôt est une dette de la banque et il est protégé par la garantie publique des dépôts jusqu’à un plafond. Avec une fintech non bancaire qui recourt à une conservation régulée, vos actifs ne sont pas une dette de la fintech : ce sont vos actifs, détenus par le dépositaire, la fintech agissant comme opérateur de la plateforme. Il n’y a pas de garantie publique, mais les actifs ne figurent pas non plus au bilan de l’entreprise.

Le constat honnête : le risque de cessation d’activité est réel et existe, mais l’architecture de ségrégation est conçue pour que ce risque ne se traduise pas par un risque de perte des fonds, comme ce serait le cas si les actifs étaient mélangés.

Source : Centre d’aide DPT — Qu’advient-il de mon argent si DPT cesse ses activités ?

Là où DPT Pay n’est pas sûr — les limites, en toute transparence

Trois points sur lesquels « sûr » signifie forcément « moins qu’une banque » :

1. Pas de garantie publique des dépôts. DPT Pay n’est pas une banque. Votre solde n’est couvert ni par le DPS de Hong Kong, ni par la FDIC américaine, ni par le FSCS britannique, ni par aucun équivalent. Des protections existent au niveau du dépositaire, mais elles ne valent pas une garantie publique.
2. Le risque lié aux stablecoins vous est transmis. Votre solde est détenu en USDC ou en USDT. Le risque de perte de l’ancrage (peg), le risque émetteur (Circle pour l’USDC, Tether pour l’USDT) et le risque propre à la chaîne sur laquelle se trouvait votre dépôt ne sont pas supprimés par le fait que DPT Pay détienne l’actif via BitGo : ils sont inhérents aux stablecoins eux-mêmes.
3. Des gels liés à la conformité peuvent survenir. Le KYT effectue un filtrage des sanctions et de la fraude en temps réel. Les transactions légitimes ne sont pas concernées, mais un dépôt dont l’origine remonte à une source signalée peut être gelé dans l’attente d’un examen. C’est une conséquence normale du fait d’opérer dans un périmètre régulé, pas un défaut, mais c’est une contrainte réelle sur le principe « je peux retirer quand je veux ».

Rien de tout cela ne rend DPT Pay dangereux dans l’absolu. Cela signifie en revanche que la question n’est pas « est-ce sûr ? », mais « le modèle de sécurité est-il adapté à mon usage ? ». Pour dépenser au quotidien des stablecoins sur le réseau Visa, avec une conservation, une ségrégation et un opérateur régulé en arrière-plan : oui. Pour y placer les économies de toute une vie comme vous le feriez dans une banque garantie par la FDIC : non, ce n’est le rôle d’aucune plateforme de stablecoins non bancaire.

Questions fréquentes

DPT Pay est-il régulé ?

Oui, dans son périmètre. DPT (HK) Limited détient une licence TCSP de Hong Kong au titre de l’AMLO Cap. 615. L’émetteur de la carte (U.S. Bank) est un membre principal agréé par Visa. Le dépositaire (BitGo) est un prestataire régulé de conservation d’actifs numériques. DPT Pay n’est pas lui-même une banque et n’est pas régulé comme tel.

Mon argent est-il assuré si DPT Pay fait faillite ?

Pas par un système de garantie des dépôts bancaires. DPT Pay n’est pas une banque, et les soldes ne sont pas couverts par le Deposit Protection Scheme de Hong Kong, la FDIC, le FSCS ou leurs équivalents. Les fonds des clients sont conservés par BitGo, dépositaire régulé, et séparés des fonds opérationnels propres de DPT Pay : une perturbation de l’activité au niveau de DPT Pay ne mélange donc pas les actifs des clients avec ceux de l’entreprise. Mais la ségrégation n’équivaut pas à une garantie publique, et la différence compte.

DPT Pay a-t-il déjà été piraté ?

L’historique public des incidents ne fait pas partie du contenu du centre d’aide ; nous ne revendiquerons donc pas ici un historique vierge. Les contrôles au niveau du compte (2FA, code anti-hameçonnage, surveillance KYT, notifications de dépense en temps réel, gel manuel de la carte) constituent les défenses propres à chaque utilisateur. Dans cette catégorie, les compromissions de comptes (hameçonnage, réutilisation d’identifiants, appareils perdus) sont bien plus fréquentes que les compromissions de plateformes ; le dispositif de sécurité est conçu en conséquence.

DPT Pay peut-il geler mon compte ?

Oui, dans certaines circonstances. La surveillance KYT (Know Your Transaction) contrôle chaque transaction pour détecter les violations de sanctions, les indicateurs de fraude et les schémas d’activité illégale. Une transaction signalée peut suspendre un retrait dans l’attente d’un examen. Il s’agit d’une obligation réglementaire au titre de l’AMLO Cap. 615, et non d’une politique discrétionnaire ; elle s’applique à tout établissement de paiement non bancaire en conformité opérant à Hong Kong.

Quelle est la différence entre geler et verrouiller ma carte ?

Le gel est manuel : vous le déclenchez dans l’app, sans limite de durée, et le levez vous-même quand vous le souhaitez. Utilisez-le si vous soupçonnez une compromission. Le verrouillage est automatique : il est déclenché par trois tentatives erronées de CVV / date d’expiration / code PIN au terminal et se lève de lui-même au bout de 24 heures, sans intervention. Les deux bloquent les transactions tant qu’ils sont actifs.

Guides connexes

• Qu’est-ce que DPT Pay ? — le guide de référence complet sur la marque (entité, licences, partenaires, tarifs)
• Qu’est-ce qu’une carte crypto — le fonctionnement général des cartes stablecoin sur le réseau Visa
• Comment une carte stablecoin traite une transaction
• Avec ou sans dépositaire — qui détient réellement vos fonds
• Centre d’aide DPT — Sécurité et compte — la FAQ sécurité complète en 12 questions