클릭 한 번에 밈코인 찍어낸 공장의 광기: pump.fun 190만 달러 내부 해킹과 라이브의 덫

유동성 풀 이전에 시장이 먼저 열리다

pump.fun의 핵심 혁신은 새로운 토큰이 아닌 시장 출시 순서의 변경이었습니다. 공식 문서에 따르면 SPL 토큰은 발행자가 유동성 풀을 먼저 공급하지 않아도 본딩 커브에서 즉시 거래될 수 있습니다. 메타데이터와 생성자 주소만 입력하면 프로그램이 관리하는 재고를 바탕으로 즉시 거래가 개시됩니다.^[1]

누구나 발행할 수 있게 되었지만 발행 후 안전까지 보장되지는 않습니다. ‘발행자 공급 풀 없음’을 ‘러그풀 불가(rug-proof)’와 동일시해서는 안 됩니다. 이 구조는 초기 풀 회수 위험을 줄일 뿐, 스마트 계약 권한, 계정 권한, 지분 집중, 가격 붕괴 위험은 별개로 남습니다.^[1][2]

가격 결정 엔진은 가상의 토큰 및 SOL 준비금을 사용합니다. Uniswap V2 기반 공식에 따라 매수 시 SOL 준비금이 늘고 토큰 준비금이 줄며 매도 시에는 반대로 움직입니다. 커브 재고가 줄수록 가격이 오르며, 호가창 체결 대신 변동하는 준비금을 기준으로 즉시 가격이 제시됩니다.^[1]

“본딩 커브 공식은 Uniswap V2를 기반으로 하며, 코인의 유동성을 보장하기 위해 가상의 x 및 y 준비금을 사용합니다.”^[1]

— Pump 프로그램 공식 문서

커브 완료는 상태 전이일 뿐 안전 인증서가 아니다

본딩 커브는 실제 토큰 재고와 0의 SOL 준비금으로 시작합니다. 매수가 이어져 실제 토큰 준비금(real_token_reserves)이 0이 되면 커브가 완료됩니다. 현재 문서는 완료된 유동성을 자체 AMM인 PumpSwap으로 이전하고 수령한 LP 토큰을 소각하는 무허가형 마이그레이션을 규정합니다. 이는 문서에 기록된 현재 상태에서 누구나 실행할 수 있지만, 같은 문서는 enable_migrate가 Global 필드이며 Global authority가 authority 필드 자체를 제외한 모든 Global 필드를 변경할 수 있다고 설명합니다.^[1]

현재의 PumpSwap 방식을 과거 전체에 소급 적용해서는 안 됩니다. 공식 문서는 과거 오프체인 서버 권한자가 Raydium으로 유동성을 이전하던 방식을 폐기(deprecated)로 명시합니다. 설계가 진화했으므로 특정 시점의 구조와 수수료를 영구적인 것으로 다루어서는 안 됩니다.^[1]

문서상 전역 계정 스냅샷에는 매매 시 100 bps(1%)의 수수료가 기록되어 있습니다. 그러나 이 수치가 모든 기간을 대변하지는 않습니다. 현재 DefiLlama는 사용자 수수료와 pump.fun의 프로토콜 매출 점유분, 졸업 수수료 등을 엄격히 구분하여 집계합니다.^[1][3]

이러한 회계상 구분은 수사적 오류를 바로잡습니다. 수수료는 사용자가 낸 총액이고 프로토콜 매출은 플랫폼 귀속분이며, 순이익 산출에는 비용 차감이 필요합니다. 대시보드 수치를 과거로 옮기거나 ‘순이익’으로 부를 수 없으며, 시점과 정의의 명시는 필수적입니다.^[3]

제어 계층에 닥친 190만 달러의 시험대

2024년 5월 16일 제어 계층에 보안 사고가 발생했습니다. pump.fun은 전직 직원이 특권적 위치를 악용해 출금 권한(withdraw authority)에 접근하고 내부 시스템을 침해했다고 밝혔습니다. 공격자는 플래시 론 자금으로 코인을 커브 끝까지 매수한 뒤 유동성을 빼내 대출금을 상환했습니다.^[2]

Cointelegraph는 사고가 5월 16일 15:21부터 17:00 UTC 사이에 발생해 계약에서 약 12,300 SOL(당시 약 190만 달러)이 유출됐다고 보도했습니다. 특권 접근 권한을 전직 직원이 악용했다는 설명은 pump.fun의 성명에 따른 것이며, 보도에 실린 성명에서 플랫폼은 그 사람의 이름을 밝히지 않았습니다.^[2]

거래는 일시 중단 후 재개되었습니다. pump.fun은 피해자들에게 사고 전 “이전 유동성의 100%”를 24시간 내 보상하겠다고 밝혔습니다. 이는 보도에 기록된 공식 약속이며, 실제 지급 완결을 독립 검증한 기록과는 구별되어야 합니다.^[2]

“이전 유동성의 100%”^[2]

— Cointelegraph가 보도한 2024년 5월 16일 pump.fun 사고 성명

모든 토큰 페이지가 라이브 방송 무대가 되었을 때

토큰 발행 기능은 금융 도구에 머물지 않았습니다. Decrypt에 따르면 라이브스트리밍 기능은 사용자가 밈코인을 만들면서 영상을 함께 송출하고, 해당 코인의 Pump.fun 페이지에 영상 피드를 표시할 수 있게 했습니다. 호스팅된 토큰 페이지에 영상이 들어오면서 모니터링 부담도 생겼고, 플랫폼은 나중에 기존 인프라가 늘어난 활동량을 감당하지 못했다고 밝혔습니다.^[4]

2024년 11월 하순 Decrypt는 동물 학대와 자해 위협이 포함된 라이브 방송을 보도했습니다. 공동 창업자 Alon은 11월 22일 방송에 대한 우려를 인정하고 표현의 자유를 지지하면서도 위험한 콘텐츠와 악의적 행위자로부터 이용자를 보호할 책임이 플랫폼에 있다고 밝혔습니다. 토큰을 자유롭게 거래하게 하는 일과 호스팅된 페이지에서 방송을 노출하는 일에는 서로 다른 책임이 따랐습니다.^[4]

“우리는 언론과 표현의 자유를 강력히 지지하지만, 사용자가 명백히 혐오스럽거나 위험한 콘텐츠를 접하지 않도록 하고 악의적인 행위자가 원하는 대로 행동할 수 있는 플랫폼을 제공받지 못하게 할 책임이 있습니다.”^[4]

— Decrypt가 인용한 Alon pump.fun 공동 창업자의 2024년 11월 22일 성명

11월 25일 pump.fun은 모니터링 인프라가 감당할 수 있을 때까지 스트리밍을 무기한 중단했습니다. 이는 토큰이나 스마트 계약의 비활성화를 뜻하지 않습니다. 배포 기능을 제거한 이 조치는 온체인 시장, 웹 인터페이스, 미디어 기능이 각기 다른 통제 계층을 지님을 보여줍니다.^[4]

규모의 확장, 사법적 공방, 그리고 출처 표기의 규율

2025년 3월 25일 Bankless 요약은 2024년 1월 이후 900만 개 이상의 토큰 생성, 1,500만 개 이상의 고유 주소 상호작용, 6억 달러의 본딩 커브 매출을 보고했습니다. 이는 매체가 특정 시점에 집계한 수치이며 6억 달러의 순이익을 뜻하지 않습니다.^[5]

2026년 8월 31일 뉴욕 남부 연방지방법원은 Aguilar v. Baton Corporation 사건(No. 1:25-cv-00880-CM-BCM)의 기각 신청을 판단했습니다. 실체적 RICO 위반과 RICO 공모를 다룬 제1·2청구는 Kendall Carnahan과 Michael Okafor가 Baton Corporation Ltd., Alon Cohen, Dylan Kerler, Noah Tweedale을 상대로 제기한 부분만 계속됩니다. 법원은 기각 신청을 낸 피고들에 대한 Diego Aguilar의 모든 청구와 Solana 피고들을 상대로 한 모든 청구를 기각했습니다. 신원이 확인되지 않고 송달도 이루어지지 않은 Lead KOL Doe 피고 1~25는 이날 판단한 기각 신청의 대상이 아니었습니다. FRED와 GRIFFAIN에 관한 제3·4청구는 Rule 12(b)(6)에 따라 본안상 재소 불가로, 나머지 18개 Pump Token 관련 청구는 집단소송 원고 적격 부족으로 재소 가능하게 기각했으며, 제5청구는 모든 기각 신청 피고에 대해 Rule 12(b)(6)에 따라 재소 불가로 기각했습니다. 소송 초기 단계에서 청구가 살아남았다는 사실은 책임 인정이 아닙니다.^[7]

문서 183호는 중요한 교훈을 줍니다. 원고 측 대리인은 요약 문장에 남은 따옴표와 인용 오류를 인정하고 정정했습니다. 이 절차적 기록은 직접 인용 부호는 원문의 정확한 일치를 보증하고 요약은 작성자에게 책임이 있음을 명확히 일깨워줍니다.^[6]

pump.fun의 역사는 단순한 성공도 스캔들도 아닙니다. 본딩 커브로 초기 유동성 부담을 없애 확장을 이뤘으나, 침해 사고는 특권 권한의 위험을, 방송 중단은 모니터링의 한계를 드러냈습니다. 2026년 8월 법원 결정은 소송 범위를 좁혔지만 두 원고가 Pump.fun 측 피고 네 명을 상대로 제기한 RICO 청구는 아직 남아 있습니다. 각 층위를 설명하려면 서로 다른 증거와 날짜, 용어가 필요합니다. 시작 버튼의 단순함이 시스템 전체의 단순함을 보장하지는 않습니다.^{[1][2][4][5][7]}