Shaw публично реконструирует контракт Pump.fun: ради открытого кода или ради нового проекта?

Оригинал | Odaily News (@OdailyChina)

Автор | Azuma (@azuma_eth)

«Нет ничего абсолютно безопасного, и нет ничего неприкосновенного. Светлый лес (The bright forest) уже наступил».

25 октября основатель Eliza Labs (более известной как ai16z) Shaw (@shawmakesmagic) объявил на платформе X о своих последних действиях. Shaw нацелился на ведущую платформу выпуска токенов в экосистеме Solana — Pump.fun, заявив, что завершил обратную разработку примерно 90% соответствующих смарт-контрактов Pump.fun и планирует закончить оставшуюся работу в тот же вечер.

В своих сообщениях на X Shaw выразился довольно вызывающе: «Либо откройте всё, либо я открою это за вас».

Сейчас связанный с Shaw репозиторий на GitHub уже опубликован. Судя по содержимому репозитория, в нём собраны полные свидетельства ончейн-развертывания ключевых программ, включая основную программу Pump, PumpSwap, Pump Fees и Mayhem, и предпринимаются попытки декомпилировать бинарные файлы и побайтово восстановить читаемый исходный код. Однако в репозитории также чётко указано, что полное побайтовое восстановление четырёх основных программ Pump.fun ещё не завершено: хотя уже есть частичные реализации функций обработки и большое количество результатов дифференциального тестирования, байткод всей программы всё ещё отличается от исходной версии. Кроме того, прохождение локальных тестов не означает, что вся программа восстановлена, и тем более не означает, что аудит безопасности завершён.

Не создание клона, а попиксельное восстановление

После распространения новости первой реакцией многих разработчиков в сообществе было сомнение в необходимости этого — ведь с помощью существующих инструментов разработки написать контракт выпуска токенов с кривой связывания (Bonding Curve), аналогичный Pump.fun, часто можно всего за десять с лишним минут.

В ответ на такие мнения Shaw позже опубликовал длинный пост. Shaw подчеркнул, что его цель — не написать ещё один клон с похожей функциональностью, а максимально восстановить исходную программу, чтобы в итоге бинарный файл, скомпилированный из восстановленной версии, побайтово совпадал с ончейн-оригиналом. По его словам, логические дефекты исходной программы также нельзя исправлять по своему усмотрению, иначе это не будет настоящим восстановлением.

По сравнению с написанием нового контракта с нуля, работа по восстановлению исходного кода путём декомпиляции без наличия исходных чертежей, очевидно, имеет совершенно иной уровень технической сложности. А ключевым инструментом, позволившим Shaw быстро продвинуться до 90%, стали современные большие языковые модели.

Shaw раскрыл свой процесс обратной разработки и даже приложил своего рода «краудсорсинговое руководство», призывающее сообщество присоединиться, а также дал оценку эффективности основных ИИ-моделей на рынке.

• Основной инструмент: в первую очередь рекомендует подписку ChatGPT Max за 200 долларов в месяц, считая, что при высокочастотных и интенсивных задачах обратной разработки кода она «полностью оправдывает свою цену»;
• Альтернативные продукты: Shaw также прямо назвал китайские GLM-5.3 или Kimi K3.1 в качестве альтернатив;
• «Отстающие»: Shaw прямо заявил, что Gemini работает отвратительно (garbage), а Claude из-за встроенных ограничений безопасности и комплаенса отказывается выполнять команды обратной разработки — если только не вернуться к старым версиям, таким как Opus 4.8.

Согласно предложенному Shaw пути, разработчику достаточно объединить инструменты обратной разработки с открытым исходным кодом, ввести определённые подсказки в ИИ-агента, чтобы тот автоматически выполнял декомпиляцию, сравнивал байткод и отправлял PR (запрос на слияние), и таким образом можно проводить обратную разработку «чего угодно».

За критикой закрытого кода скрывается маркетинг нового проекта

Что касается того, зачем тратить столько времени и сил на взлом Pump.fun, Shaw в своих сообщениях продемонстрировал явную двойную мотивацию — на поверхности это критика культуры безопасности публичных блокчейнов, а за этим скрывается мотив продвижения своего нового проекта.

На уровне идеологии Shaw сначала резко раскритиковал давно существующее в экосистеме Solana явление «нормализации закрытого кода контрактов» — «Смарт-контракты никогда не должны быть закрытыми, это раковая опухоль на общественной инфраструктуре».

Shaw отметил, что ещё в 2019 году, на заре DeFi, закрытые контракты в индустрии почти приравнивались к высокому риску или даже мошенническим схемам; но неизвестно, с какого момента закрытый код стал обычным явлением в экосистеме Solana. Shaw привёл данные, согласно которым за последний год из-за критических уязвимостей в закрытых контрактах хакеры похитили более 40 миллионов долларов. По его мнению, только полностью открыв код, белые хакеры и ИИ смогут своевременно находить и сообщать об уязвимостях.

Но после обсуждения болевых точек безопасности индустрии Shaw сменил тему и представил настоящего главного героя — новый проект slop.cash, который Shaw сейчас разрабатывает.

По словам Shaw, slop.cash планируется запустить на Umia Finance, основное направление — интернет-безопасность и механизм частных вознаграждений за уязвимости. Чтобы стимулировать сообщество помочь завершить восстановление кода Pump.fun, Shaw также сообщил, что направляет комиссии от сделок создателей, полученные от связанного мем-токена, на выкуп токенов, и планирует использовать эти средства в качестве пула вознаграждений для всех, кто поможет достичь «побайтового восстановления» кода. После завершения обновления основной сети slop.cash этот восстановленный исходный код Pump.fun будет напрямую включён в платформу.

Нетрудно заметить, что это громкое шоу обратной разработки под лозунгом «покончить с хаосом закрытого кода», которое продвигает Shaw, по сути является холодным запуском маркетинга slop.cash с ярко выраженным гиковским характером.

Обратная разработка и открытие кода, возможно, осуществимы, но всё ещё трудно поколебать ров Pump.fun

На момент публикации Pump.fun и её основатель Alon ещё не ответили публично на проект Shaw по обратной разработке и открытию кода.

Если отбросить маркетинговые соображения, какое влияние окажет на экосистему, если этот приносящий огромные ежедневные доходы базовый контракт Pump.fun действительно будет восстановлен на 100% и опубликован? Мнения в сообществе по этому поводу сейчас сильно расходятся.

С точки зрения безопасности сторонники считают, что такой ведущий протокол, как Pump.fun, аккумулирующий огромные средства розничных инвесторов, длительное время работающий как чёрный ящик, сам по себе является системным риском, и прозрачность поможет сообществу совместно проводить аудит и устранять скрытые угрозы; однако у противников также есть опасения — поскольку Shaw стремится к «восстановлению даже багов в исходном виде», без активного сотрудничества официальной команды в обновлении, прямое раскрытие основной логики, несомненно, значительно снижает порог для хакеров в поиске путей атаки.

А на уровне коммерческой конкуренции, хотя некоторые считают, что публикация исходного кода породит больше аналогичных платформ выпуска токенов, в отрасли в целом полагают, что это вряд ли реально угрожает рыночным позициям Pump.fun. За последний год форки, пытающиеся бросить вызов Pump.fun, появлялись один за другим, но подавляющее большинство из них после кратковременного взлёта затихали. Для современных платформ выпуска токенов настоящий ров уже давно не в нескольких строках кода смарт-контракта, а в сетевом эффекте экосистемы, выстроенной вокруг платформы — включая глубокую интеграцию с основными торговыми терминалами и кошельками, долгосрочное доверие пользователей к безопасности контрактов, а также то, появлялись ли на платформе эталонные токены с эффектом богатства.

С этой точки зрения, Shaw, возможно, сможет с помощью ИИ восстановить полный код Pump.fun, но поколебать коммерческий фундамент последнего одним лишь открытием кода, очевидно, не так просто.