La fábrica de memecoins en un clic: pump.fun, el exploit interno de 1,9M$ y el caos en vivo

El mercado llega antes que el fondo de liquidez

La innovación decisiva de pump.fun no fue un nuevo token, sino alterar la secuencia de lanzamiento. La documentación del programa Pump indica que una moneda SPL puede negociarse de inmediato en una curva de vinculación sin un fondo previo del creador. Ingresando nombre, símbolo, metadatos y dirección, la negociación comienza contra inventario del programa y no contra capital del emisor.^[1]

Esto amplía quién puede emitir, pero no garantiza la seguridad posterior. Las descripciones iniciales equipararon erróneamente la falta de fondo inicial con ser invulnerable a estafas o rug-proof. Ambas afirmaciones no equivalen. La arquitectura reduce el riesgo de retirada del fondo inicial en un DEX, pero deja intactos los riesgos de permisos, manipulación social, concentración de tenencias y desplome de precios.^[1][2]

El motor de precios utiliza reservas sintéticas de tokens y SOL. Según la documentación basada en Uniswap V2, las compras aumentan las reservas de SOL y reducen las de tokens; las ventas invierten este flujo. Cuanto más escaso es el inventario, mayor es el precio, cotizando contra reservas dinámicas en lugar de esperar órdenes en un libro.^[1]

“La fórmula de la curva de vinculación se basa en Uniswap V2 y utiliza reservas sintéticas de x e y para garantizar que haya liquidez para la moneda”.^[1]

— Documentación del programa Pump

La graduación es una transición de estado, no un certificado de seguridad

Una curva comienza con inventario de tokens y sin reserva real de SOL. Cada compra modifica estos saldos hasta que la reserva real llega a cero, completando la curva. La documentación actual describe una migración sin permisos hacia PumpSwap, el AMM de pump.fun, quemando los tokens LP recibidos del nuevo fondo.^[1]

Este flujo hacia PumpSwap no debe extrapolarse a toda la historia de la plataforma. La documentación señala como obsoleta una instrucción previa donde una autoridad migraba liquidez a Raydium desde un servidor externo. El diseño evolucionó; por ello, un relato preciso debe fechar cada mecanismo y no presentar umbrales o sedes como inmutables.^[1]

La cuenta global documentada registraba una comisión de 100 puntos básicos (1%) en compras y ventas. Esta instantánea no autoriza a calificar todo cobro histórico como del 1%. La estructura cambió, y DefiLlama desglosa hoy las comisiones de usuarios, la cuota de ingresos del protocolo de pump.fun, tarifas de graduación y asignaciones.^[1][3]

Dicha distinción contable corrige un recurrente atajo retórico. Las comisiones son pagos de usuarios; los ingresos del protocolo son la porción retenida según cierta metodología; el beneficio neto exigiría deducir costes. Un panel analítico refleja volumen, pero sus cifras no pueden trasladarse al pasado ni llamarse beneficio puro sin las debidas definiciones y fechas.^[3]

La prueba de 1,9 millones de dólares en el plano de control

El 16 de mayo de 2024 falló el plano de control. pump.fun alegó que un exempleado utilizó accesos privilegiados para controlar una autoridad de retiro y vulnerar sistemas internos. Según el informe de Cointelegraph, compras con préstamos relámpago llevaron tokens al final de sus curvas, permitiendo al atacante drenar liquidez y devolver el SOL prestado.^[2]

El incidente ocurrió entre las 15:21 y las 17:00 UTC, sustrayendo unos 12.300 SOL (cerca de 1,9 millones de dólares). Estos hechos reportados respaldan un incidente de acceso interno, pero no las confesiones inventadas, identidades señaladas, cronologías de arresto o condenas del borrador previo.^[2]

Las operaciones se pausaron temporalmente y se reanudaron después. pump.fun prometió que los usuarios afectados recibirían “el 100% de la liquidez” previa en 24 horas. Esto constituye una promesa formal registrada en prensa, no una verificación independiente de reembolsos concluidos. Distinguir entre un compromiso post-incidente y un registro auditado es un requisito indispensable.^[2]

“el 100% de la liquidez”^[2]

— Declaración de pump.fun del 16 de mayo de 2024 citada por Cointelegraph

Cuando cada página de token se convirtió en un escenario

La maquinaria de emisión trascendió lo financiero. Las transmisiones en vivo permitieron situar vídeo junto al mercado del token, integrando espectáculo, difusión y especulación en una interfaz. El mecanismo recompensaba la atención: la emisión atraía operadores y la curva estimulaba nueva atención. La baja fricción que aceleró las emisiones también incrementó la carga de moderación de la plataforma.^[4]

A finales de noviembre de 2024, se reportaron contenidos que iban desde maltrato animal hasta amenazas de autolesión. Estas son las categorías documentadas, sin añadir listas sensacionalistas. El cofundador Alon reconoció las inquietudes y asumió la moderación como responsabilidad corporativa, admitiendo que el comercio sin permisos no exige una difusión ilimitada en la web.^[4]

“aunque defendemos firmemente la libertad de expresión, es nuestra responsabilidad garantizar que los usuarios no vean contenido claramente repulsivo o peligroso y que a los malos actores no se les otorgue una plataforma para actuar como deseen”.^[4]

— Alon, cofundador de pump.fun, declaración del 22 de noviembre de 2024 citada por Decrypt

El 25 de noviembre, pump.fun pausó el streaming indefinidamente hasta que su infraestructura de moderación pudiera gestionar la actividad. La medida no implicó cancelar los tokens ni los contratos subyacentes. Al retirar esta herramienta de difusión, evidenció la naturaleza por capas del sistema: los mercados en cadena, la interfaz web y los medios poseen controles distintos.^[4]

Escala, litigios y la disciplina de la atribución

Hacia el 25 de marzo de 2025, Bankless reportó más de 9 millones de tokens creados, 15 millones de direcciones únicas y 600 millones de dólares en ingresos desde enero de 2024 vinculados a la curva. Se trata de mediciones fechadas y formuladas por dicho medio, no de registros perpetuos ni de 600 millones en beneficios.^[5]

La escala atrajo escrutinio judicial. Un documento del 13 de abril de 2026 confirma una causa activa en el SDNY, Aguilar v. Baton Corporation, No. 1:25-cv-00880-CM-BCM, que demanda a Baton Corporation Ltd. (pump.fun) y otros actores. El expediente judicial demuestra la existencia del litigio, pero no prueba las alegaciones de la demanda ni determina responsabilidades.^[6]

El Documento 183 aporta una advertencia metodológica clave. La defensa de los demandantes admitió que quedaron comillas en textos parafraseados y subsanó varias citas. Aunque no alteró los argumentos sustanciales, el incidente recuerda una regla esencial: las comillas afirman la literalidad exacta, mientras que la paráfrasis traslada la responsabilidad descriptiva a quien redacta el texto.^[6]

La trayectoria de pump.fun no es un triunfo sin fricciones ni un mero escándalo. Su curva de vinculación eliminó la barrera del fondo inicial e impulsó una emisión masiva. No obstante, el exploit reveló riesgos de accesos privilegiados, la pausa del streaming mostró límites de moderación y la demanda reúne reclamaciones pendientes de resolución. La simplicidad inicial nunca garantizó sencillez integral.^{[1][2][4][5][6]}