La fábrica de memecoins en un clic: pump.fun, el exploit interno de 1,9M$ y el caos en vivo

El mercado llega antes que el fondo de liquidez

La innovación decisiva de pump.fun no fue un nuevo token, sino alterar la secuencia de lanzamiento. La documentación del programa Pump indica que una moneda SPL puede negociarse de inmediato en una curva de vinculación sin un fondo previo del creador. Ingresando nombre, símbolo, metadatos y dirección, la negociación comienza contra inventario del programa y no contra capital del emisor.^[1]

Esto amplía quién puede emitir, pero no garantiza la seguridad posterior. Las descripciones iniciales equipararon erróneamente la falta de fondo inicial con ser invulnerable a estafas o rug-proof. Ambas afirmaciones no equivalen. La arquitectura reduce el riesgo de retirada del fondo inicial en un DEX, pero deja intactos los riesgos de permisos, manipulación social, concentración de tenencias y desplome de precios.^[1][2]

El motor de precios utiliza reservas sintéticas de tokens y SOL. Según la documentación basada en Uniswap V2, las compras aumentan las reservas de SOL y reducen las de tokens; las ventas invierten este flujo. Cuanto más escaso es el inventario, mayor es el precio, cotizando contra reservas dinámicas en lugar de esperar órdenes en un libro.^[1]

“La fórmula de la curva de vinculación se basa en Uniswap V2 y utiliza reservas sintéticas de x e y para garantizar que haya liquidez para la moneda”.^[1]

— Documentación del programa Pump

La graduación es una transición de estado, no un certificado de seguridad

Una curva comienza con inventario real de tokens y sin reserva real de SOL. Cada compra modifica esos saldos hasta que la reserva real de tokens llega a cero y el programa marca la curva como completada. La documentación actual describe una instrucción de migración sin permisos que traslada la liquidez completada a PumpSwap, el creador de mercado automatizado de pump.fun, y quema los tokens LP recibidos del nuevo fondo. La instrucción no requiere permiso en la instantánea documentada; esa misma documentación identifica enable_migrate como un campo Global y señala que la autoridad Global puede modificar todos los campos Global salvo el propio campo de autoridad.^[1]

Este flujo hacia PumpSwap no debe extrapolarse a toda la historia de la plataforma. La documentación señala como obsoleta una instrucción previa donde una autoridad migraba liquidez a Raydium desde un servidor externo. El diseño evolucionó; por ello, un relato preciso debe fechar cada mecanismo y no presentar umbrales o sedes como inmutables.^[1]

La cuenta global documentada registraba una comisión de 100 puntos básicos (1%) en compras y ventas. Esta instantánea no autoriza a calificar todo cobro histórico como del 1%. La estructura cambió, y DefiLlama desglosa hoy las comisiones de usuarios, la cuota de ingresos del protocolo de pump.fun, tarifas de graduación y asignaciones.^[1][3]

Dicha distinción contable corrige un recurrente atajo retórico. Las comisiones son pagos de usuarios; los ingresos del protocolo son la porción retenida según cierta metodología; el beneficio neto exigiría deducir costes. Un panel analítico refleja volumen, pero sus cifras no pueden trasladarse al pasado ni llamarse beneficio puro sin las debidas definiciones y fechas.^[3]

La prueba de 1,9 millones de dólares en el plano de control

El 16 de mayo de 2024 falló el plano de control. pump.fun alegó que un exempleado utilizó accesos privilegiados para controlar una autoridad de retiro y vulnerar sistemas internos. Según el informe de Cointelegraph, compras con préstamos relámpago llevaron tokens al final de sus curvas, permitiendo al atacante drenar liquidez y devolver el SOL prestado.^[2]

Cointelegraph informó de que el incidente ocurrió el 16 de mayo entre las 15:21 y las 17:00 UTC y de que se sustrajeron unos 12.300 SOL, valorados entonces en cerca de 1,9 millones de dólares, de los contratos. El relato atribuyó el uso de acceso privilegiado por un exempleado al comunicado de pump.fun; la plataforma no había identificado por su nombre a esa persona en el comunicado recogido por el artículo.^[2]

Las operaciones se pausaron temporalmente y se reanudaron después. pump.fun prometió que los usuarios afectados recibirían “el 100% de la liquidez” previa en 24 horas. Esto constituye una promesa formal registrada en prensa, no una verificación independiente de reembolsos concluidos. Distinguir entre un compromiso post-incidente y un registro auditado es un requisito indispensable.^[2]

“el 100% de la liquidez”^[2]

— Declaración de pump.fun del 16 de mayo de 2024 citada por Cointelegraph

Cuando cada página de token se convirtió en un escenario

La maquinaria de emisión dejó de ser meramente financiera. Según Decrypt, las transmisiones en vivo permitían emitir vídeo al crear un meme coin e insertar esa señal en la página del token en Pump.fun. Incorporar vídeo a una página alojada por la plataforma también generó una carga de moderación que, según explicó después pump.fun, había superado la capacidad de su infraestructura.^[4]

A finales de noviembre de 2024, Decrypt informó sobre transmisiones con maltrato animal y amenazas de autolesión. El 22 de noviembre, el cofundador Alon reconoció las preocupaciones y afirmó que la plataforma debía proteger a los usuarios del contenido peligroso y de actores abusivos, aun defendiendo la libertad de expresión. Permitir el comercio abierto de tokens y dar difusión a una transmisión en una página alojada implicaban responsabilidades distintas.^[4]

“aunque defendemos firmemente la libertad de expresión, es nuestra responsabilidad garantizar que los usuarios no vean contenido claramente repulsivo o peligroso y que a los malos actores no se les otorgue una plataforma para actuar como deseen”.^[4]

— Alon, cofundador de pump.fun, declaración del 22 de noviembre de 2024 citada por Decrypt

El 25 de noviembre, pump.fun pausó el streaming indefinidamente hasta que su infraestructura de moderación pudiera gestionar la actividad. La medida no implicó cancelar los tokens ni los contratos subyacentes. Al retirar esta herramienta de difusión, evidenció la naturaleza por capas del sistema: los mercados en cadena, la interfaz web y los medios poseen controles distintos.^[4]

Escala, litigios y la disciplina de la atribución

Hacia el 25 de marzo de 2025, Bankless reportó más de 9 millones de tokens creados, 15 millones de direcciones únicas y 600 millones de dólares en ingresos desde enero de 2024 vinculados a la curva. Se trata de mediciones fechadas y formuladas por dicho medio, no de registros perpetuos ni de 600 millones en beneficios.^[5]

El 31 de agosto de 2026, el tribunal del SDNY resolvió las mociones de desestimación en Aguilar v. Baton Corporation, No. 1:25-cv-00880-CM-BCM. Las pretensiones I y II, por RICO sustantivo y conspiración RICO, siguen pendientes únicamente para Kendall Carnahan y Michael Okafor contra Baton Corporation Ltd., Alon Cohen, Dylan Kerler y Noah Tweedale. El tribunal desestimó todas las pretensiones de Diego Aguilar contra los demandados que presentaron las mociones, y todas las dirigidas contra los demandados de Solana. Los demandados Lead KOL Doe 1–25, aún no identificados ni notificados, quedaron fuera de las mociones resueltas ese día. Desestimó con perjuicio, por el fondo y bajo la Regla 12(b)(6), las pretensiones III y IV relativas a FRED y GRIFFAIN; desestimó sin perjuicio las relativas a los otros dieciocho Pump Tokens por falta de legitimación de clase; y desestimó con perjuicio la pretensión V bajo la Regla 12(b)(6) frente a todos los demandados que promovieron las mociones. Que una demanda supere esta fase procesal no constituye una declaración de responsabilidad.^[7]

El Documento 183 aporta una advertencia metodológica clave. Los abogados de los demandantes admitieron que quedaron comillas en textos parafraseados y subsanaron varias citas. Según sostuvieron esos abogados, las correcciones no afectaban a los argumentos sustanciales. El incidente recuerda una regla esencial: las comillas afirman la literalidad exacta, mientras que la paráfrasis traslada la responsabilidad descriptiva a quien redacta el texto.^[6]

La trayectoria de pump.fun no es un triunfo sin fricciones ni un mero escándalo. Su curva de vinculación eliminó la barrera del fondo inicial e impulsó una emisión masiva; el exploit reveló el riesgo del acceso privilegiado y la pausa del streaming mostró los límites de la moderación. La resolución de agosto de 2026 redujo el alcance del litigio, pero dejó pendientes las demandas RICO de dos demandantes contra cuatro demandados de Pump.fun. Cada capa exige sus propias pruebas, fechas y términos. La simplicidad inicial nunca garantizó sencillez integral.^{[1][2][4][5][7]}