Security Engineer

О роли

Мы ищем инженера по безопасности, который построит функцию безопасности внутри продуктовой разработки. Это hands-on роль: вы будете отвечать за безопасность кода, управляющего движением средств, - от threat modeling до ревью криптографических и кастодиальных компонентов. Вы станете первым специалистом по безопасности в штате и определите стандарты для всей инженерной команды.

Чем предстоит заниматься

• Threat modeling ключевых компонентов: подписание транзакций, управление ключами, кастодиальные процессы.
• Secure code review критичных участков (backend, блокчейн-компоненты, смарт-контракты).
• Проектирование и ревью архитектуры управления ключами (MPC, HSM, мультиподпись, политики подписания).
• Внедрение SAST/DAST/SCA и секрет-сканирования в CI/CD; security-гейты в процессе релиза.
• Координация внешних аудитов смарт-контрактов и пентестов, работа с их результатами.
• Реагирование на инциденты безопасности, разбор и предотвращение повторений.
• Обучение команды практикам безопасной разработки.

Что мы ожидаем

• 5+ лет в application security / product security, из них опыт в финтехе или криптоиндустрии.
• Понимание атак на инфраструктуру цифровых активов: blind signing, компрометация цепочки поставок, фишинг подписантов, уязвимости смарт-контрактов.
• Практический опыт threat modeling и secure code review (Python, Go, TypeScript - любой из стеков).
• Знание криптографических примитивов и схем: подписи, хеш-функции, MPC/TSS, HSM.
• Опыт встраивания инструментов безопасности в CI/CD.
• Умение говорить с разработчиками на их языке и предлагать реализуемые решения, а не только находить проблемы.

Будет плюсом

• Опыт работы в кастодиане, бирже или инфраструктурном крипто-проекте.
• Опыт аудита смарт-контрактов (Solidity/Rust) или участие в bug bounty.
• Сертификации OSCP/OSWE или эквивалентный практический уровень.
• Знакомство с регуляторными требованиями к ИБ в финансовом секторе (NYDFS 500, DORA, ISO 27001).

Условия

• Работа над продуктом с реальной технической глубиной: собственная инфраструктура, высокие требования к безопасности и надёжности.
• Прямое влияние на архитектуру и процессы - вы будете строить функцию, а не поддерживать чужую.
• Небольшая сильная команда без бюрократии, быстрые решения.