Senior Security Engineer - xStocks

СТРОИМ БУДУЩЕЕ ОТКРЫТЫХ ФИНАНСОВ

Payward — материнская компания Kraken, NinjaTrader, Breakout, xStocks, Payward Services и CF Benchmarks — последние 15 лет создает одну из самых современных и глобально доступных финансовых инфраструктурных платформ в отрасли, призванную развивать открытую глобальную финансовую систему.

КОМАНДА

xStocks выводит реальные активы на блокчейн в виде токенизированных ценных бумаг, которые регулируются, полностью обеспечены и торгуются на нескольких блокчейнах. Команда xStocks, созданная в рамках Payward, управляет инфраструктурой, которая выпускает, хранит и проводит расчеты по этим инструментам на EVM, Solana, TON, Tron и других платформах. Платформа перемещает реальные ценности, поэтому безопасность — это не дополнительная функция, добавленная в конце. Это свойство всего, что выпускает команда. Это гибридная инженерно-безопасная позиция, созданная для тех, кто действительно является и тем, и другим: вы выпускаете продукты вместе с командой инженеров, когда очередь по безопасности спокойна, и вы полностью отвечаете за работу по безопасности, когда она поступает. Вы подчиняетесь отделу разработки и тесно сотрудничаете с функциями безопасности Payward, CISO и отдела соответствия требованиям.

ВОЗМОЖНОСТЬ

• Полностью отвечайте за результаты в области безопасности. Координируйте и рецензируйте аудиты смарт-контрактов, отвечайте на запросы по безопасности и запросы на комплексную проверку, поддерживайте инициативы CISO и отдела соответствия требованиям, а также преобразуйте выявленные проблемы в отслеживаемые, закрытые исправления.

• Проводите наступательные оценки собственных платформ. Проводите пентесты веб-приложений, API, серверных служб и компонентов в цепочке, а также создавайте инструментарий для их многократного выполнения, а не однократного.

• Постоянно оценивайте состояние безопасности. Моделируйте угрозы для новых и существующих систем, рецензируйте архитектуру и потоки управления ключами, а также поддерживайте актуальное представление о рисках и их смягчении.

• Проверяйте код на безопасность. Будьте основным рецензентом изменений, касающихся аутентификации, криптографии, хранения, подписи и перемещения средств в наших цепочках.

• Укрепляйте платформу. Улучшайте обработку секретов, управление доступом на основе минимальных привилегий, гигиену зависимостей и цепочек поставок, а также обнаружение и журналирование событий, связанных с безопасностью.

• Обеспечьте безопасность рабочих процессов хранения и подписания. Рецензируйте и укрепляйте потоки подписания транзакций, интеграции MPC и HSM, разрешения подписантов, роли администраторов, политики утверждения и процедуры аварийного восстановления.

• Вносите вклад в разработку продукта. Выполняйте регулярные задачи из бэклога на TypeScript, чтобы оставаться в курсе кодовой базы, которую вы защищаете.

• Поддерживайте инциденты. Помогайте с обнаружением, сортировкой, реагированием и пост-анализом, а также используйте полученные уроки для улучшения программы.

ЧТО ВЫ ПРИВНОСИТЕ

• Прежде всего — инженер. Вы уверенно пишете и рецензируете производственный код, TypeScript и Node.js в нашем стеке, и достаточно глубоко понимаете системы, чтобы их взламывать.

• Глубокие знания основ безопасности приложений и инфраструктуры. Ландшафт уязвимостей класса OWASP, аутентификация и авторизация, инъекции, SSRF, риски цепочки поставок и безопасное проектирование. Вы имели реальный опыт наступательной работы в области пентестинга, исследования уязвимостей или red-team.

• Прикладная криптография и безопасность блокчейна. Симметричные и асимметричные примитивы, хеширование, подписи и управление ключами, а также модель безопасности EVM, Solana, и в идеале TON или Tron. Вы можете прочитать смарт-контракт и понять, как он может выйти из строя.

• Ответственность. Вы можете взять на себя неясный вопрос безопасности, аудит, опросник или инцидент и довести его до завершения, не требуя постоянного контроля.

• Четкая коммуникация. Вы можете объяснить риск инженерам, CISO и аудитору, адаптируя сообщение к каждому.

• Инстинкт автоматизации. Вы не хотите ловить одну и ту же проблему вручную дважды, поэтому вы преобразуете выявленные проблемы в тесты, оповещения, средства контроля, документацию или улучшения платформы.

• Оценка рисков. Вы можете отличить теоретическую проблему от материальной и четко донести степень опасности, вероятность, влияние и компромиссы при устранении.

ПРИЯТНО ИМЕЕТЬ

• Опыт проведения или устранения последствий сторонних аудитов смарт-контрактов.

• Знакомство с инфраструктурой хранения и подписания, такой как HSM, MPC и поставщики в стиле ForDefi, а также с безопасностью транзакций в цепочке.

• Глубокие знания безопасности облачных сред в GCP или AWS, IAM, а также укрепления контейнеров и сред выполнения.

• Инженерия обнаружения и наблюдаемость безопасности, включая SIEM и обнаружение на основе журналов.

• Соответствующие сертификаты, такие как OSCP, OSWE или GWAPT.

• Предыдущий опыт работы в регулируемой финтех-компании или в среде токенизации/DeFi.

Если в описании вакансии не указана конкретная дата окончания приема заявок, то заявки принимаются на постоянной основе.

Обратите внимание, что заявителям разрешается редактировать или удалять информацию из своего резюме, идентифицирующую возраст, дату рождения или даты посещения или окончания учебного заведения.

Мы рассматриваем кандидатов с криминальным прошлым для трудоустройства в нашей команде, оценивая кандидатов в соответствии с требованиями Ордонанса о справедливых возможностях Сан-Франциско.

НАША ПРИВЕРЖЕННОСТЬ

Payward состоит из людей со всего мира, и мы ценим разнообразные таланты, опыт, вклад и уникальные точки зрения, которые каждый приносит в команду. Мы нанимаем на основе заслуг, ищем людей с нужными способностями, знаниями и навыками для работы. Мы призываем вас подавать заявки на вакансии, даже если вы не полностью соответствуете перечисленным требованиям, особенно если вы увлечены криптовалютами или обладаете знаниями в этой области.

Мы можем попросить кандидатов пройти оценку профессиональных навыков или стиля работы, связанную с вакансией, в рамках нашего процесса найма. Эти оценки оценивают компетенции, относящиеся к должности, и применяются последовательно ко всем кандидатам на аналогичные должности. Результаты рассматриваются наряду с опытом и результатами собеседований и не являются единственной основой для принятия каких-либо кадровых решений.

Как работодатель, предоставляющий равные возможности, мы не терпим дискриминации или преследования любого рода, будь то на основании расы, этнической принадлежности, возраста, гендерной идентичности, гражданства, религии, сексуальной ориентации, инвалидности, беременности, статуса ветерана или любой другой защищенной характеристики, как указано в федеральных, государственных или местных законах.

Оставайтесь на связи

Подпишитесь на нас в Twitter

Узнайте больше в блоге Kraken

Свяжитесь с нами в LinkedIn

Уведомление о конфиденциальности кандидата