事件・ミステリー2026-08-22約 5分Solana (SOL)

1クリックでコインを量産する工場の狂乱：pump.funの190万ドル内部ハッキングと暴走劇

pump.funはトークン作成を即時取引可能なボンディングカーブ市場へと簡素化しました。この仕組みは爆発的な拡大をもたらした一方、pump.funが元従業員によるものとした190万ドルの不正流出、ライブ配信停止、係争中の連邦民事訴訟を通じて、発行の容易さと完全な安全性との乖離を浮き彫りにしました。

3点クイック要約

発端 / 逆説pump.funは発行者による初期流動性供給を即時取引可能なボンディングカーブに置き換え、Solanaトークン発行の参入障壁を劇的に引き下げました。
決定的瞬間2024年5月に元従業員の仕業とされたインシデントでは、特権アクセスとフラッシュローンが悪用され、約12,300 SOL（当時約190万ドル）が流出しました。
歴史的結末トークンページが配信ステージ化したことを受け、2024年11月に配信機能が無期限停止されました。その後の民事訴訟は未確定の法的論点を投げかけています。

出来事のタイムライン

2024年1月低摩擦な発行プラットフォームの登場

pump.funがSolana上で稼働を開始し、トークン作成と即時のボンディングカーブ取引を統合しました。

2024年5月16日特権アクセスが悪用経路となる

約12,300 SOL（190万ドル）の流出を元従業員の不正アクセスによるものとし、取引を一時停止しました。

2024年11月25日ライブ配信機能の無期限停止

モデレーション体制が活動急増に対応できるようになるまで、ライブ配信機能を無期限で停止すると発表しました。

2025年3月25日急拡大した規模の数値化

Banklessの取材要約により、2024年1月以降で900万超のトークン作成、1,500万超のアドレス、6億ドルの売上が報告されました。

2026年4月13日継続中の民事訴訟記録

ニューヨーク州南部連邦地裁（SDNY）への提出資料により係争関係が確認され、原告の主張は立証された事実とは区別されています。

流動性プールに先立って市場が開く

pump.funがもたらした決定的な発想は、新種のトークンではなく市場導入プロセスの刷新でした。公式ドキュメントによれば、SPLトークンは発行者が従来の流動性プールを供給せずともボンディングカーブ上で即座に取引可能となります。メタデータと作成者アドレスを入力するだけで、プログラム管理の在庫を相手に取引が始まります。^[1]

これにより誰でも発行が可能になりましたが、発行後の安全が保証されたわけではありません。「初期プール供給なし」を「ラグプル不可能（rug-proof）」と同一視することは誤りです。この設計は初期プールの引き抜きリスクを抑えるだけで、管理者権限、アカウント権限、保有の集中、価格暴落リスクは別に存在します。^[1][2]

価格決定エンジンには仮想のトークンおよびSOL準備金が用いられます。公式文書によればUniswap V2に基づく計算式が採用され、買いが入るとSOL準備金が増加してトークン準備金が減少し、売りでは逆の動きとなります。カーブ内の在庫が減少するほど価格は上昇し、板取引を待たずに変動する準備金に基づいて即時に価格が提示されます。^[1]

「ボンディングカーブの計算式はUniswap V2に基づいており、コインの流動性を確保するために仮想のxおよびy準備金を使用します。」^[1]
— Pumpプログラム公式ドキュメント

カーブ卒業は状態遷移であり、安全証明書ではない

ボンディングカーブは実トークン在庫とゼロの実SOL準備金から開始します。購入が進み実トークン準備金（real_token_reserves）がゼロに達すると、プログラムはカーブ完了を記録します。現在のドキュメントでは、完了した流動性を自社AMMのPumpSwapへ移行し、受領したLPトークンを焼却するパーミッションレスな移行命令が規定されています。^[1]

現在のPumpSwap移行フローをプラットフォームの歴史全体に遡及して適用すべきではありません。同ドキュメントでは、以前オフチェーンサーバーの権限者がRaydiumへ流動性を移行していた出金命令を非推奨（deprecated）としています。設計は進化しており、特定の取引所や手数料率を不変のものとして扱うべきではありません。^[1]

ドキュメント上のグローバルアカウントのスナップショットには、売買時に100 bps（1%）の手数料が記録されています。しかしこの数値が全期間を代表するわけではありません。現在DefiLlamaはユーザー支払手数料とpump.funのプロトコル売上シェア、卒業手数料、作成者配分などを厳密に区別して集計しています。^[1][3]

この会計上の区別は従来の誤解を是正します。手数料はユーザーの支払総額であり、プロトコル売上はプラットフォームの取分であり、純利益の算出には費用の差し引きが必要です。分析ツールの変動数値を過去に遡及させたり「純利益」と呼び換えることはできず、日付と定義の明記が不可欠です。^[3]

コントロールプレーンを襲った190万ドルの試練

2024年5月16日、制御プレーンにセキュリティ障害が発生しました。pump.funの発表によると、元従業員が特権的立場を悪用して出金権限（withdraw authority）にアクセスし内部システムを侵害しました。攻撃者はフラッシュローン資金で特定銘柄を買い占めてカーブを完了させ、流動性を引き出して借入SOLを返済しました。^[2]

事件は15:21から17:00 UTCの短時間に発生し、約12,300 SOL（当時約190万ドル相当）が流出しました。これらの報道内容は内部不正の構図を裏付けますが、過去の下書きに見られた創作された自白や実名、逮捕や量刑に関する主張は根拠を欠いています。^[2]

取引は一時停止された後に再開されました。pump.funは被害を受けたユーザーに対し、インシデント前に保有していた「流動性の100%」を24時間以内に補償すると表明しました。これは報道に記録された公式の約束であり、補償完了を第三者が検証した確定記録とは区別されます。^[2]

「流動性の100%」^[2]
— コインテレグラフが引用した2024年5月16日のpump.funインシデント声明

すべてのトークンページが配信ステージとなったとき

トークン発行の仕組みは金融ツールにとどまりませんでした。ライブ配信機能により作成者がトークン画面の隣で映像を配信できるようになり、パフォーマンス、情報拡散、投機が単一画面に統合されました。配信が視聴者を集め、視聴者が売買し、動くカーブがさらなる注目を呼ぶ循環が生まれ、モデレーションの負荷が急増しました。^[4]

2024年11月下旬、動物虐待や自害予告などの過激な配信内容が報じられました。これらは確認された報道の範囲であり、誇張されたリストを付け加えるべきではありません。共同創業者のAlonは正当な懸念を認め、表現の自由を支持しつつも管理責任を表明し、自由な取引がWeb上での無制限な宣伝を保証するものではないと認めました。^[4]

「私たちは言論と表現の自由を強く支持していますが、ユーザーが明らかに不快または危険なコンテンツを目にしないようにし、悪意ある行為者に好き勝手に行動できるプラットフォームを与えないようにすることは私たちの責任です。」^[4]
— Decryptが引用したpump.fun共同創業者Alonの2024年11月22日の声明

11月25日、pump.funはモデレーション体制が活動量に対応できるようになるまでライブ配信を無期限停止しました。これはトークンやスマートコントラクト自体の無効化を意味しません。配信機能を切り離したこの決定は、オンチェーン市場、Webサイト、メディア機能が異なる制御層を持つことを示しています。^[4]

拡大のスケール、司法審査、そして厳格な出典の規律

2025年3月25日のBankless取材要約は、2024年1月以降で900万超のトークン作成、1,500万超のユニークアドレス、6億ドルのボンディングカーブ売上を記録したと報告しました。これらは特定時点におけるメディア発表の数値であり、恒久的な指標や6億ドルの純利益を意味するものではありません。^[5]

プラットフォームの急拡大に伴い法的精査が進みました。2026年4月13日付の連邦裁判所資料は、ニューヨーク州南部連邦地方裁判所（SDNY）で係争中のAguilar対Baton Corporation事件（No. 1:25-cv-00880-CM-BCM）を裏付けています。裁判記録は訴訟の存在を証明しますが、原告の主張の真実性や法的責任を立証するものではありません。^[6]

訴訟資料第183号は重要な教訓を与えています。原告側弁護人は要約文に残っていた引用符や判例引用の誤りを認め訂正しました。この手続き記録は実質的主張の成否とは別に、直接引用符が正確な原文一致を保証し、要約文は書き手に責任が移るという重要な原則を再認識させます。^[6]

pump.funの歩みは、完全無欠な成功でも単なるスキャンダルでもありません。ボンディングカーブによって初期流動性の負担を取り除き巨大な規模を達成した一方、不正流出は特権権限の脆弱性を、配信停止はモデレーションの限界を露呈し、民事訴訟は司法判断を待っています。発行ボタンの簡潔さはシステム全体の単純さを意味しません。^{[1][2][4][5][6]}