클릭 한 번에 밈코인 찍어낸 공장의 광기: pump.fun 190만 달러 내부 해킹과 라이브의 덫

유동성 풀 이전에 시장이 먼저 열리다

pump.fun의 핵심 혁신은 새로운 토큰이 아닌 시장 출시 순서의 변경이었습니다. 공식 문서에 따르면 SPL 토큰은 발행자가 유동성 풀을 먼저 공급하지 않아도 본딩 커브에서 즉시 거래될 수 있습니다. 메타데이터와 생성자 주소만 입력하면 프로그램이 관리하는 재고를 바탕으로 즉시 거래가 개시됩니다.^[1]

누구나 발행할 수 있게 되었지만 발행 후 안전까지 보장되지는 않습니다. ‘발행자 공급 풀 없음’을 ‘러그풀 불가(rug-proof)’와 동일시해서는 안 됩니다. 이 구조는 초기 풀 회수 위험을 줄일 뿐, 스마트 계약 권한, 계정 권한, 지분 집중, 가격 붕괴 위험은 별개로 남습니다.^[1][2]

가격 결정 엔진은 가상의 토큰 및 SOL 준비금을 사용합니다. Uniswap V2 기반 공식에 따라 매수 시 SOL 준비금이 늘고 토큰 준비금이 줄며 매도 시에는 반대로 움직입니다. 커브 재고가 줄수록 가격이 오르며, 호가창 체결 대신 변동하는 준비금을 기준으로 즉시 가격이 제시됩니다.^[1]

“본딩 커브 공식은 Uniswap V2를 기반으로 하며, 코인의 유동성을 보장하기 위해 가상의 x 및 y 준비금을 사용합니다.”^[1]

— Pump 프로그램 공식 문서

커브 완료는 상태 전이일 뿐 안전 인증서가 아니다

본딩 커브는 실제 토큰 재고와 0의 SOL 준비금으로 시작합니다. 매수가 이어져 실제 토큰 준비금(real_token_reserves)이 0이 되면 커브가 완료됩니다. 현재 문서는 완료된 유동성을 자체 AMM인 PumpSwap으로 이전하고 수령한 LP 토큰을 소각하는 무허가형 마이그레이션을 규정합니다.^[1]

현재의 PumpSwap 방식을 과거 전체에 소급 적용해서는 안 됩니다. 공식 문서는 과거 오프체인 서버 권한자가 Raydium으로 유동성을 이전하던 방식을 폐기(deprecated)로 명시합니다. 설계가 진화했으므로 특정 시점의 구조와 수수료를 영구적인 것으로 다루어서는 안 됩니다.^[1]

문서상 전역 계정 스냅샷에는 매매 시 100 bps(1%)의 수수료가 기록되어 있습니다. 그러나 이 수치가 모든 기간을 대변하지는 않습니다. 현재 DefiLlama는 사용자 수수료와 pump.fun의 프로토콜 매출 점유분, 졸업 수수료 등을 엄격히 구분하여 집계합니다.^[1][3]

이러한 회계상 구분은 수사적 오류를 바로잡습니다. 수수료는 사용자가 낸 총액이고 프로토콜 매출은 플랫폼 귀속분이며, 순이익 산출에는 비용 차감이 필요합니다. 대시보드 수치를 과거로 옮기거나 ‘순이익’으로 부를 수 없으며, 시점과 정의의 명시는 필수적입니다.^[3]

제어 계층에 닥친 190만 달러의 시험대

2024년 5월 16일 제어 계층에 보안 사고가 발생했습니다. pump.fun은 전직 직원이 특권적 위치를 악용해 출금 권한(withdraw authority)에 접근하고 내부 시스템을 침해했다고 밝혔습니다. 공격자는 플래시 론 자금으로 코인을 커브 끝까지 매수한 뒤 유동성을 빼내 대출금을 상환했습니다.^[2]

사고는 15:21부터 17:00 UTC 사이에 일어났으며 약 12,300 SOL(당시 약 190만 달러)이 유출되었습니다. 이 보도 내용은 내부자 접근 사건을 뒷받침하지만, 과거 초안의 조작된 자백이나 실명, 체포 및 형량 단정은 근거가 없습니다.^[2]

거래는 일시 중단 후 재개되었습니다. pump.fun은 피해자들에게 사고 전 “이전 유동성의 100%”를 24시간 내 보상하겠다고 밝혔습니다. 이는 보도에 기록된 공식 약속이며, 실제 지급 완결을 독립 검증한 기록과는 구별되어야 합니다.^[2]

“이전 유동성의 100%”^[2]

— Cointelegraph가 보도한 2024년 5월 16일 pump.fun 사고 성명

모든 토큰 페이지가 라이브 방송 무대가 되었을 때

토큰 발행은 단순한 금융을 넘어섰습니다. 라이브스트리밍 도입으로 창작자가 코인 화면 옆에 영상을 띄우며 방송, 유통, 투기가 결합되었습니다. 방송이 시청자를 모으고 매매로 이어져 커브가 움직이면 더 큰 주목을 끄는 구조였습니다. 낮은 진입 장벽은 모니터링 부담의 급증으로 이어졌습니다.^[4]

2024년 11월 하순 동물 학대와 자해 위협 등 유해 방송이 보도되었습니다. 이는 확인된 보도 범주이며 근거 없는 자극적 목록을 더해서는 안 됩니다. 공동 창업자 Alon은 정당한 우려를 인정하고 관리 책임을 밝혔으며, 무허가형 거래가 호스팅 인터페이스의 무제한 홍보를 뜻하지 않음을 확인했습니다.^[4]

“우리는 언론과 표현의 자유를 강력히 지지하지만, 사용자가 명백히 혐오스럽거나 위험한 콘텐츠를 접하지 않도록 하고 악의적인 행위자가 원하는 대로 행동할 수 있는 플랫폼을 제공받지 못하게 할 책임이 있습니다.”^[4]

— Decrypt가 인용한 Alon pump.fun 공동 창업자의 2024년 11월 22일 성명

11월 25일 pump.fun은 모니터링 인프라가 감당할 수 있을 때까지 스트리밍을 무기한 중단했습니다. 이는 토큰이나 스마트 계약의 비활성화를 뜻하지 않습니다. 배포 기능을 제거한 이 조치는 온체인 시장, 웹 인터페이스, 미디어 기능이 각기 다른 통제 계층을 지님을 보여줍니다.^[4]

규모의 확장, 사법적 공방, 그리고 출처 표기의 규율

2025년 3월 25일 Bankless 요약은 2024년 1월 이후 900만 개 이상의 토큰 생성, 1,500만 개 이상의 고유 주소 상호작용, 6억 달러의 본딩 커브 매출을 보고했습니다. 이는 매체가 특정 시점에 집계한 수치이며 6억 달러의 순이익을 뜻하지 않습니다.^[5]

규모가 커지자 사법적 감시가 뒤따랐습니다. 2026년 4월 13일 법원 문건은 뉴욕 남부 연방지방법원(SDNY)의 Aguilar v. Baton Corporation 사건(No. 1:25-cv-00880-CM-BCM)을 확인합니다. 소송 기록은 소송의 존재를 증명할 뿐, 원고 측 주장의 진실성이나 법적 책임을 입증하지는 않습니다.^[6]

문서 183호는 중요한 교훈을 줍니다. 원고 측 대리인은 요약 문장에 남은 따옴표와 인용 오류를 인정하고 정정했습니다. 이 절차적 기록은 직접 인용 부호는 원문의 정확한 일치를 보증하고 요약은 작성자에게 책임이 있음을 명확히 일깨워줍니다.^[6]

pump.fun의 역사는 단순한 성공도 스캔들도 아닙니다. 본딩 커브로 초기 유동성 부담을 없애 확장을 이뤘으나, 침해 사고는 특권 권한의 위험을, 방송 중단은 모니터링의 한계를 드러냈고, 민사 소송은 법적 판단을 기다리고 있습니다. 시작 버튼의 단순함이 시스템 전체의 단순함을 보장하지는 않습니다.^{[1][2][4][5][6]}