Security Engineer

Вознаграждение: 140–190 тыс. долларов США в год

Миссия Mysten Labs — развитие интернета за счет качественных улучшений в технологических возможностях. Мы создаем фундаментальную инфраструктуру и продукты, которые предоставляют людям, бизнесу и разработчикам новые способы взаимодействия, совершения транзакций и создания ценности.

Наша работа охватывает ончейн-финансы и зарождающуюся экономику агентов. С помощью Sui, Move и нашего обширного технологического стека мы создаем системы, обеспечивающие этот опыт — от безопасной, масштабируемой инфраструктуры блокчейна до новых способов взаимодействия бизнеса и ИИ-агентов.

Mysten Labs ищет инженера по безопасности (Security Engineer) с глубокими знаниями в области безопасности приложений и опытом поиска и устранения реальных уязвимостей. Вы будете отвечать за программы Bug Bounty и внешние аудиты, обеспечивать безопасность нашего кода и цепочки поставок программного обеспечения, а также создавать инструменты для защиты продуктов и пользователей Mysten во всей экосистеме Sui.

Обязанности

• Управление программами Bug Bounty Mysten: триаж, определение уровня критичности, ответы, эскалация внутри компании, валидация исправлений, а также бюджет и выплаты. Превращение повторяющихся классов отчетов в автоматизированные проверки.

• Ответственность за проведение аудитов: определение области охвата и графика внешних аудитов, техническое взаимодействие во время аудита, отслеживание найденных проблем до их устранения и валидация исправлений.

• Проведение обзоров кода и проектирования систем, созданных Mysten, ее дочерними компаниями и партнерами (Rust, TypeScript, Move). Доведение проблем до конца, включая расследование и реагирование на инциденты, а также проведение вариационного анализа для закрытия каждого класса ошибок там, где он встречается.

• Ответственность за безопасность цепочки поставок программного обеспечения: защита от вредоносных программ в зависимостях и CI/CD, Endor Labs, сервис безопасности кода (элементы управления GitHub, боты для слияния) и постоянный сервис самоаудита безопасности кода. Обнаружение и реагирование на скомпрометированные пакеты, мейнтейнеров и конвейеры сборки, а также обеспечение происхождения и подписи того, что выпускает Mysten.

• Создание и улучшение инструментов для борьбы со скамом и злоупотреблениями в экосистеме Sui: обнаружение фишинговых сайтов, вредоносных dApps, дрейн-контрактов и других угроз, нацеленных на пользователей Sui, а также взаимодействие с командами кошельков для разработки мер по их устранению.

• Создание инструментов безопасности: агенты для триажа и обзора на основе LLM, а также статическое и динамическое (taint-анализ, графы вызовов, фаззинг) тестирование, интегрированное в CI и процесс обзора кода. Внедрение проверок на известную чистоту, чтобы люди доверяли результатам.

МИНИМАЛЬНЫЕ ТРЕБОВАНИЯ

• Степень бакалавра в области компьютерных наук, инженерии компьютерных систем, смежной технической области или эквивалентный практический опыт.

• Более 3 лет практического опыта в области инженерии безопасности, безопасности приложений или безопасности продуктов, с подтвержденным опытом поиска реальных уязвимостей (отчеты Bug Bounty, результаты аудитов, CVE или опубликованные исследования).

• Глубокие знания в области безопасности Web2: XSS, CSRF, SSRF, проблемы авторизации, инъекции, десериализация, сбои в цепочке поставок программного обеспечения, криптографические сбои.

• Владение одним или несколькими языками Rust, TypeScript, Python или Move, а также опыт обзора и написания кода, чувствительного к безопасности.

• Практические знания поверхности атаки цепочки поставок программного обеспечения: экосистемы пакетов (npm, crates.io, PyPI), CI/CD (инъекции рабочего процесса GitHub Actions, утечка токенов, неприкрепленные действия) и происхождение сборки.

• Твердое понимание основ прикладной криптографии и распространенных способов злоупотребления криптографическими системами на практике.

• Опыт работы с программой Bug Bounty или в рамках аудиторских проверок (с любой стороны).

• Отличные письменные и устные коммуникативные навыки, включая способность влиять на команды, над которыми вы не имеете формальной власти.

• Интерес к пространству web3 обязателен.

ПРЕДПОЧТИТЕЛЬНЫЕ ТРЕБОВАНИЯ

• Безопасность смарт-контрактов или кошельков: цепи на базе Move, Solidity или Rust; модель объектов и возможностей Sui является плюсом.

• Статический или динамический анализ программ: CodeQL, Semgrep, taint-анализ, фаззинг, символьное выполнение.

• Опыт создания инструментов безопасности с использованием LLM-агентов (Claude Code skills или аналогичные), а также четкое понимание того, где модели полезны, а где требуется детерминированное инструментарий.

• Опыт борьбы с фишингом, мошенничеством или обеспечения доверия и безопасности: мониторинг доменов и контента, сканирование, классификаторы, аналитика угроз.

• Знание недавних крипто-инцидентов и лежащих в их основе классов дефектов: дрейн-киты, компрометация фронтенда DeFi, компрометация репозиториев пакетов.

• Известные рейтинги Bug Bounty, CVE, публикации или выступления на конференциях.

Трудоустройство зависит от успешного прохождения проверки биографических данных, которая может включать проверку истории трудоустройства, образовательных квалификаций, криминального прошлого и другой соответствующей информации.

Относительно недавней волны мошенничества с вакансиями в сфере технологий: имейте в виду, что электронные письма от настоящих рекрутеров Mysten Labs всегда будут приходить с домена @mystenlabs.com или связанных с ним поддоменов. Помните: вы всегда можете проверить вакансии на наших карьерных страницах по адресу www.mystenlabs.com/careers.

Для поддержки эффективного и справедливого процесса найма мы можем использовать технологические инструменты, включая искусственный интеллект (ИИ), для помощи в выявлении и оценке кандидатов. Все решения о найме в конечном итоге принимаются людьми-рецензентами.

Наша команда работает удаленно, и мы нанимаем сотрудников по всему миру. В Mysten Labs вы присоединитесь к команде мирового класса с огромным потенциалом роста, поскольку мы привлекаем следующую миллиардную аудиторию к web3. Мы привлекли 300 миллионов долларов в рамках раунда Серии B от ведущих венчурных фондов Кремниевой долины, таких как Jump Crypto, Andreessen Horowitz (a16z), Binance Labs, Redpoint, Lightspeed, Coinbase Ventures, Electric Capital, Standard Crypto, NFX, Slow Ventures, Scribble Ventures, Samsung Next, Lux Capital, а также других инвестиционных фирм и стратегических партнеров. Присоединяйтесь к нам и стройте будущее web3!