Cómo un hacker con principios explotó un agujero en Solana para financiar proyectos indie
Por Kike Gandia · Amenazas · 3 min de lectura
En el mundo de las shitcoins y las DEX, donde cada semana nace y muere un nuevo token, siempre hay alguien que encuentra la forma de jugar con las reglas del sistema. Esta es la historia de cómo un tipo llamado Jared hackeó Pump.fun, una plataforma de memecoins en Solana, y en lugar de llevarse la pasta, decidió redistribuirla en proyectos que le parecían interesantes. Un Robin Hood moderno, pero con líneas de código en lugar de flechas.
Pump.fun: La máquina de imprimir dinero de los degenerados de crypto
Si no has oído hablar de Pump.fun, básicamente es una plataforma que permite a cualquiera crear su propia memecoin en la blockchain de Solana con unos pocos clics. La gracia está en su mecanismo de «graduación»: los tokens empiezan cotizando en una curva de precios dentro de Pump.fun, y cuando alcanzan los 85 SOL (unos $68,000 a $73,000 de market cap), automáticamente se listan en Raydium, un exchange descentralizado (DEX). En ese momento:
- 85 SOL
- el umbral que gradúa un token a Raydium (entre 68.000 y 73.000 $ de market cap)
- 2,3 SOL
- se queda Pump.fun como tasa de servicio
- 12.000 $
- en tokens van al pool de liquidez (los tokens LP se queman: liquidez permanente)
- 0,5 SOL
- recibe el creador del token
El reparto automático en el momento de la graduación. Donde hay dinero, hay un exploit esperando a ser descubierto.
Este modelo incentiva a los creadores y traders a lanzar nuevos tokens y a empujar sus precios hasta la graduación. Pero como todo en crypto, donde hay dinero, hay un exploit esperando a ser descubierto.
Jared y el flash loan más inteligente del año
Jared vio una oportunidad en este sistema y la explotó con una precisión quirúrgica. Usando un flash loan, que es básicamente un préstamo instantáneo sin colateral que se debe devolver en la misma transacción, hizo lo siguiente:
- Paso 1 — El flash loan
Un préstamo instantáneo sin colateral que hay que devolver en la misma transacción. Con él compra tokens suficientes para forzar la graduación. - Paso 2 — El desvío
Manipula el sistema para redirigir la SOL destinada al pool de liquidez hacia direcciones controladas por él. - Paso 3 — La salida
Vende inmediatamente los tokens para pagar el préstamo y se queda entre 1 y 80 SOL por cada memecoin graduada. - Paso 4 — La escala
Automatiza el proceso para repetirlo con miles de tokens, y envía las ganancias a proyectos de Solana que le parecen interesantes.
Precisión quirúrgica sobre la lógica del propio contrato: no robó de nadie, manipuló un proceso de arbitraje en su favor.
A diferencia de los típicos exploiters que simplemente drenan contratos y desaparecen en la oscuridad de Tornado Cash, Jared estaba ejecutando un ataque con un propósito. Su bot redistribuyó una parte del dinero hacia otros proyectos en el ecosistema de Solana, ayudando a financiar iniciativas independientes.
El contraataque de Pump.fun: Subir las tasas hasta el infierno
Obviamente, cuando un tipo empieza a jugar con millones de dólares en un sistema semi-automatizado, alguien se da cuenta. La respuesta de Pump.fun fue rápida y simple: subieron las tasas de transacción dentro de la plataforma. Ahora, cada vez que Jared intentaba comprar tokens para ejecutar su exploit, le cobraban una cantidad absurda de SOL en comisiones. Fin del hack.
¿Fue ilegal lo que hizo Jared? Técnicamente no. Simplemente usó la lógica del contrato de Pump.fun contra sí mismo. No robó directamente de nadie; solo manipuló un proceso de arbitraje en su favor. Es el tipo de hack que fuerza a las plataformas a revisar sus mecanismos y mejorar su seguridad. En este caso, la solución fue drástica pero efectiva: hacer que cualquier intento de repetir la hazaña costara más de lo que podía generar.
El exploit típico lo que suele pasar
- Drenar el contrato y desaparecer.
- Los fondos acaban en la oscuridad de Tornado Cash.
- Billeteras anónimas, ningún rastro.
Lo que hizo Jared la rareza
- Un ataque con propósito declarado.
- El bot redistribuyó parte del dinero al ecosistema de Solana.
- Financió iniciativas independientes en lugar de desaparecer.
La respuesta de Pump.fun fue rápida y simple: subir las tasas hasta que repetir el hack costara más de lo que generaba.
¿Un hacker o un benefactor del ecosistema?
El caso de Jared es un recordatorio de que la seguridad en DeFi es un juego del gato y el ratón. Siempre hay alguien dispuesto a exprimir hasta la última línea de código para encontrar una ventaja, y a veces, como en este caso, el resultado es más interesante que simplemente ver cómo alguien se enriquece.
En el fondo, lo que Jared hizo fue demostrar que el sistema tenía un punto débil y usarlo para financiar algo en lo que creía. En una industria donde la mayoría de los exploits terminan con los fondos desapareciendo en billeteras anónimas, su historia es una rareza. Un tipo que, en lugar de desaparecer con los fondos, los reinvirtió en la comunidad.
La moraleja es clara: en crypto, no hay reglas escritas en piedra, y la verdadera innovación a veces viene de aquellos que deciden desafiar el status quo.
Servicio relacionado
Servicios de pentesting y hacking ético