Shaw揭露Pump.fun合约：是出于开源精神，还是为新项目铺路？

正文：

原创 | Odaily 星球日报（@OdailyChina）

“没有任何事物是绝对安全的，也没有什么是神圣不可侵犯的。光明森林（The bright forest）已经到来。”

在10月25日，Eliza Labs的创始人Shaw（@shawmakesmagic），更广为人知的身份是ai16z，在X平台上分享了他的最新动态。他针对Solana生态系统内的知名发币平台Pump.fun，宣布已成功完成该平台相关智能合约约90%的逆向工程，并预计会在当天完成剩余部分。

在他的动态中，Shaw的言辞颇具挑衅：“要么将所有内容开源，否则我就代你开源。”

目前，Shaw所关联的GitHub仓库已对外公开。根据仓库中的信息，已包含Pump主程序、PumpSwap、Pump Fees及Mayhem等核心程序的链上部署证据，并正在尝试将二进制文件反编译，逐字节还原为可读的源码。然而，该仓库也明确指出，四个核心Pump.fun程序的完整字节级还原尚未完成。尽管已实现部分处理函数并得到大量差分测试结果，但整体程序的字节码仍与原始版本存在差异。此外，局部测试的通过并不意味着整个程序已经还原，更不代表安全审计已经完成。

这一消息发布后，许多开发者的初步反应是质疑其必要性——毕竟，利用现有的开发工具，编写一套类似Pump.fun的联合曲线（Bonding Curve）发币合约通常只需短短十几分钟。

面对这种质疑，Shaw随后发布了长文进行回应。他强调，自己并不是要重新编写一套功能相似的仿盘，而是尽可能完整地还原原程序，最终使重建的版本编译出的二进制文件与链上原版逐字节一致。按照他的目标，原程序中的逻辑缺陷不得擅自修正，否则就不能称为真正的还原。

与从零开始编写一套新合约相比，这种在没有源码的情况下，通过反编译还原底稿的工作显然在技术难度上有着显著区别。Shaw之所以能迅速推进至90%的进度，主要得益于当前主流的大语言模型。

Shaw在动态中公开了他的逆向流程，并附上了一份呼吁社区参与的“众包教程”，同时对市场上主流AI模型进行了点评。

根据Shaw提供的操作路径，开发者只需结合开源逆向工具，输入特定提示词给AI Agent，即可自动执行反编译、比对字节码并提交合并请求，从而对“任何东西”进行逆向工程。

至于为何要耗费时间和精力破解Pump.fun，Shaw在动态中展现出明显的双重动机——表面上是对公链安全文化的批评，实际上也暗藏为自己新项目造势的意图。

在理念层面，Shaw严厉批评了Solana生态系统中长期存在的“合约闭源常态化”现象——“智能合约绝不应闭源，这是公共基础设施上的毒瘤。”

他指出，自2019年DeFi的萌芽以来，闭源合约在行业内几乎被视为高风险甚至诈骗的代名词；然而，不知何时起，闭源在Solana生态中却变得司空见惯。Shaw援引数据称，过去一年中，因闭源合约存在致命安全漏洞而被黑客盗取的资金已超过4000万美元。他认为，唯有将代码彻底公开，白帽黑客与AI才能及时发现并上报漏洞。

但在讨论完行业安全问题后，Shaw的言辞一转，提到了他正在构建的新项目——slop.cash。

💡 行业推荐：锦鲤(KoiPayment) @KoiPay — 专注东南亚跨境支付解决方案，安全、稳定、高效的数字金融服务商。

根据Shaw的介绍，slop.cash计划在Umia Finance上启动，核心方向围绕互联网安全与私有漏洞赏金机制。为了激励社区协助完成Pump.fun的代码还原，Shaw透露，他将某相关Meme币产生的创作者交易手续费用于代币回购，并计划将这笔资金作为赏金池，分配给所有协助实现“逐字节还原”的代码贡献者。待slop.cash完成主网升级后，这套还原出的Pump.fun源码将被直接纳入平台。

不难看出，Shaw所推动的这场以“终结闭源乱象”为旗号的高调逆向工程，实际上也是slop.cash极具极客色彩的一场冷启动营销。

截至发文时，Pump.fun及其创始人Alon尚未在公开渠道对Shaw的逆向开源工程作出回应。

抛开营销层面的考量，若Pump.fun的底层合约真的被100%还原并公开，这将对生态产生怎样的影响？目前社区对此看法不一。

在安全层面，支持者认为，像Pump.fun这样吸引了大量散户资金的头部协议，长期黑盒运行本身就是一种系统性风险，透明化有助于社区共同审计、消除隐患；然而反对者则同样持有顾虑——由于Shaw追求的是“连Bug都原样还原”，在官方未主动配合升级的情况下，直接将核心逻辑公之于众，显然也大幅降低了黑客寻找攻击路径的门槛。

在商业竞争层面，尽管有观点认为源码公开会催生更多同类发币平台，但业内普遍认为，这难以真正威胁到Pump.fun的市场地位。过去一年，试图挑战Pump.fun的分叉项目层出不穷，但绝大多数都在短暂反弹后归于沉寂。对于现今的发币平台而言，真正的护城河早已不是几行智能合约代码，而是围绕平台建立的生态网络效应——包括主流交易终端与钱包应用的深度整合、用户对合约安全性的长期信任，以及平台是否曾推出过具有财富效应的标杆代币。

从这个角度来看，虽然Shaw或许能利用AI还原出Pump.fun的完整代码，但仅凭开源就想动摇其商业基础，显然并非易事。