Shaw公开逆向Pump.fun合约：为了开源大义？还是要推新项目？

原创 | Odaily 星球日报（@OdailyChina）

作者｜Azuma（@azuma_eth）

“没有什么东西是绝对安全的，也没有什么是神圣不可侵犯的。光明森林（The bright forest）已经降临。”

10 月 25 日，Eliza Labs（更为人熟知的名字可能是 ai16z ）创始人 Shaw（@shawmakesmagic）在 X 平台公布了最新动向。Shaw 将矛头对准了 Solana 生态头部发币平台 Pump.fun，宣称自己已完成对 Pump.fun 相关智能合约约 90% 的逆向工程，并预计在当晚完成剩余工作。

在 X 动态中，Shaw 的言语颇具挑衅意味：“要么把所有东西都开源，否则我就替你开源。”

目前，与 Shaw 关联的 GitHub 仓库已经公开。从仓库内容来看，其中已收录了包括 Pump 主程序、PumpSwap、Pump Fees 以及 Mayhem 等核心程序的完整链上部署证据，并正在尝试将二进制文件反编译、逐字节还原为可读源码。不过，该仓库也已明确标记，四个核心 Pump.fun 程序的完整字节级还原均未完成，当前虽有部分处理函数实现和大量差分测试结果，但整个程序的字节码仍与原始版本存在差异。此外，局部测试通过不等于整个程序已经还原，更不等于安全审计已经完成。

并非另造仿盘，而是像素级还原

消息传出后，社区不少开发者的第一反应是质疑其必要性 —— 毕竟以现有的开发工具，编写一套类似 Pump.fun 的联合曲线（Bonding Curve）发币合约，往往只需要十几分钟。

面对这类声音，Shaw 随后再次发布长文做出了回应。Shaw 强调，自己要做的不是另写一套功能相似的仿盘，而是尽可能还原原程序，最终让重建版本编译出的二进制文件与链上原版逐字节一致。按照他的目标，原程序中的逻辑缺陷也不能被擅自修正，否则就不算真正还原。

相比从零编写一套新合约，这种在没有源码图纸的情况下通过反编译还原底稿的工作，技术难度显然不在一个量级。而 Shaw 之所以能快速推进到 90% 的进度，核心工具正是当下主流的大语言模型。

Shaw 在动态中公开了自己的逆向流程，甚至顺带给出一份号召社区参与的“众包教程”，并对市面上的主流 AI 模型做了一番效用点评。

• 主力工具：首推订阅每月 200 美元的 ChatGPT Max 套餐，认为在高频高强度的代码逆向任务中“完全值回票价”；
• 替代产品：Shaw 还明确点名可以使用中国的 GLM-5.3 或 Kimi K3.1 作为替代方案；
• “拉胯”代表：Shaw 直言 Gemini 表现很糟（garbage），而 Claude 则会因为内置的安全合规限制拒绝执行逆向工程指令 —— 除非退回去使用 Opus 4.8 等旧版本。

按照 Shaw 给出的操作路径，开发者只需结合开源逆向工具，将特定提示词输入给 AI Agent，让其自动执行反编译、比对字节码并提交 PR（合并请求），即可对“任何东西”进行逆向工程。

痛批闭源的背后，暗藏着新项目的营销

至于为什么要耗时耗力去破解 Pump.fun，Shaw 在动态中展现出了鲜明的双重动机 —— 明面上是对公链安全文化的批判，背后也暗藏着为自己新项目造势的动机。

在理念层面，Shaw 先是严厉批评了 Solana 生态长期存在的“合约闭源常态化”现象 —— “智能合约永远不应该闭源，这是公共基础设施上的毒瘤。”

Shaw 表示，早在 2019 年 DeFi 萌芽期，闭源合约在行业内几乎等同于高风险甚至诈骗盘；但不知从何时起，闭源却在 Solana 生态中变得习以为常。Shaw 援引数据指出，过去一年里，因闭源合约存在致命安全漏洞而被黑客盗取的资金已超过 4000 万美元。在他看来，唯有将代码彻底公开，白帽黑客与 AI 才能及时排查并上报漏洞。

但在探讨完行业安全痛点后，Shaw 话锋一转，又引出了真正的主角 —— 一个 Shaw 正在构建的新项目 slop.cash。

根据 Shaw 的介绍，slop.cash 计划在 Umia Finance 上启动，核心方向是互联网安全与私有漏洞赏金机制。为了激励社区协助完成 Pump.fun 的代码还原，Shaw 还透露自己正将某相关 Meme 币产生的创作者交易手续费用于代币回购，并计划将这笔资金作为赏金池，分配给所有协助实现“逐字节还原”的代码贡献者。待 slop.cash 完成主网升级后，这套还原出来的 Pump.fun 源码将被直接收录进平台。

不难看出，Shaw 正在推进的这场打着“终结闭源乱象”旗号的高调逆向工程秀，本质上也是 slop.chah 极具极客色彩的一场冷启动营销。

逆向开源或许可行，但仍难撼动 Pump.fun 护城河

截至发文，Pump.fun 及其创始人 Alon 尚未在公开渠道对 Shaw 的逆向开源工程进行回应。

抛开营销层面的考量，如果 Pump.fun 这套日进斗金的底层合约真的被 100% 还原并公开，会对生态产生怎样的影响？目前社区对此的看法也相当不一。

在安全层面，支持者认为，像 Pump.fun 这样沉淀了海量散户资金的头部协议，长期黑盒运行本身就是系统性风险，透明化有助于社区共同审计、消除隐患；但反对者同样存有顾虑 —— 由于 Shaw 追求的是“连 Bug 都原样还原”，在官方没有主动配合升级的前提下，直接将核心逻辑公之于众，无疑也大幅降低了黑客寻找攻击路径的门槛。

而在商业竞争层面，尽管有人认为源码公开会催生更多同类发币平台，但业内普遍认为，这很难真正威胁到 Pump.fun 的市场地位。过去一年里，试图挑战 Pump.fun 的分叉项目层出不穷，但绝大多数都在短暂冲高后归于沉寂。对于如今的发币平台而言，真正的护城河早已不是那几行智能合约代码，而是围绕平台建立起来的生态网络效应 —— 包括主流交易终端与钱包应用的深度接入、用户对合约安全性的长期信任，以及平台是否曾跑出过具有财富效应的标杆代币。

从这个角度看，Shaw 或许能用 AI 还原出 Pump.fun 的全套代码，但想要仅凭开源就动摇后者的商业基本盘，显然没那么容易。