Principal Security Engineer (Crypto / Digital Assets)

Мы ищем Principal Security Engineer с глубокими знаниями в области криптовалют, который будет руководить безопасностью нашего регулируемого бизнеса с цифровыми активами. По мере того как мы развиваем спотовую торговлю, кастодиальные услуги, стейкинг и on-chain сервисы для нашей клиентской базы, безопасность является фундаментом, на котором стоит весь бизнес. Эта роль отвечает за это. Вы будете владельцем безопасности для кастодиального и on-chain уровня нашей криптоплатформы от начала до конца: архитектура, инженерия, операции и регуляторное обеспечение для тех частей стека, которые уникальны для цифровых активов. Для возможностей платформы, уже находящихся в ведении центральных команд безопасности (cloud, application security, IAM, SOC), вы определите крипто‑специфические требования и будете сотрудничать в их реализации, а не дублировать владение. Вы будете тесно взаимодействовать с risk, compliance, product и engineering, и подчиняться центральной функции безопасности. Это практическая старшая роль для человека, который понимает, что в кастодиальных сервисах цифровых активов одна ошибка в управлении ключами может стать событием, завершающим деятельность компании, и который строит контрольные меры соответственно.

• Владеть полным стеком кастодиальных решений: MPC‑управление ключами, авторизация транзакций, кворумы подписи, белый список адресов и контроль выводов
• Управлять разделением горячих/холодных кошельков, церемониями ключей и делегированными холодными кастодианами
• Обеспечивать безопасность архитектуры стейкинга и on-chain путей депозитов/выводов
• Определять крипто‑специфические требования к укреплению кастодиального и биржевого стека в существующей многоконтурной среде AWS; сотрудничать с InfraSec по сегментации аккаунтов, сетевым и контрольным механизмам резидентности данных
• Сотрудничать с AppSec для внедрения крипто‑специфических проверок в SDLC (SAST, DAST, SCA, CI/CD security gates) для кастодиальных и биржевых сервисов
• Сотрудничать с IAM и IAM Tech по управлению привилегированным доступом и секретами для криптографических подписных ключей и кастодиальных учётных данных
• Определять сценарии обнаружения, специфичные для кастодиальных и блокчейн‑сервисов, и передавать их в мониторинг и оповещение SOC
• Владеть реагированием на инциденты в крипто‑сценариях (компрометация ключа, неавторизованная транзакция, on-chain инцидент); сотрудничать с CorpSec по групповому процессу IR, форензике и уведомлению о нарушениях
• Вносить крипто‑ и блокчейн‑специфические сценарии в программу пентестов и red‑team AppSec
• Оценивать безопасность и обеспечивать постоянную уверенность в стеке криптовендоров: кастодиальные платформы, системы исполнения, аналитика блокчейна, Travel Rule и инструменты управления казначейством
• Применять процесс онбординга вендоров и контрактной безопасности CorpSec к взаимодействию с криптовендорами
• Сопоставлять контрольные меры с MiCA и крипто‑специфическими положениями DORA и FCA; сотрудничать с IT Governance по сопоставлению с ISO 27001, SOC 2, NIST CSF и GDPR
• Интегрировать крипто‑сервисы в групповое BC/DR и карту важных бизнес‑сервисов, управляемую IT Governance
• Поддерживать аденды к политике безопасности, специфичные для крипто; оказывать поддержку регуляторным и IT аудитам по крипто‑объёму

• 6+ лет в области информационной безопасности, включая недавний опыт работы senior security engineer, security architect или security lead;
• Прямой опыт обеспечения безопасности крипто, кастодиальных цифровых активов или регулируемой финансовой платформы; глубокое понимание безопасности блокчейна, архитектуры кошельков и управления ключами;
• Практические знания основ облачной безопасности (AWS предпочтительно, Azure/GCP приемлемо) в регулируемой среде;
• Практические знания безопасности в регулируемом финансовом секторе и того, как контрольные меры соотносятся с условиями лицензий (ISO 27001, SOC 2, NIST);
• Опыт проведения threat modelling, risk assessments и incident response;
• Умение работать в матричной модели безопасности — сотрудничать с выделенными командами IAM, AppSec, SOC и инфраструктурной безопасности, а не полностью владеть этими функциями.

• Практический опыт работы с Kubernetes, контейнерами, API security и инфраструктурой как кодом;
• Владение Python для автоматизации и скриптинга;
• Опыт проведения оценки безопасности третьих сторон / вендоров;
• Признанные сертификаты: CISSP, CISM, CCSP или эквивалент;
• Практический опыт работы с MPC‑кастодиальными решениями, церемониями ключей и проектированием политик подписи;
• Знакомство с MiCA, DORA, FCA crypto rules или сопоставимыми режимами цифровых активов;
• Опыт в secure SDLC и DevSecOps (OWASP, secure‑by‑design);
• Опыт проведения обзоров безопасности смарт‑контрактов: threat modelling, заказ и управление внешними аудитами, а также доведение находок до решения;
• Опыт проектирования потоков подписания и одобрения транзакций, чтобы то, что пользователь или оператор одобрил, было доказуемо тем, что подписано и транслировано;
• Опыт анализа бизнес‑логики в денежном потоке — последовательность выводов, идемпотентность баланса, целостность внутренней бухгалтерии — где ошибка находится в логике, а не в криптографии;
• Знакомство с обеспечением цепочки поставок для крипто‑специфических зависимостей: SDK кошельков, библиотеки цепочек, клиентские ноды и инструменты подписи, включая pinning, provenance и дисциплину обновлений;
• Опыт определения объёма bug bounty для крипто‑активов и триаж и калибровка тяжести находок on-chain.

• Конкурентоспособная зарплата: Мы считаем, что отличная работа заслуживает отличной оплаты. Ваши навыки и таланты будут вознаграждены зарплатой, которая заставит вас чувствовать себя ценным и мотивированным.
• Гармония work‑life: Присоединяйтесь к компании, которая действительно заботится о вас, потому что ваша жизнь вне работы так же важна, как и ваше время на работе. #LI-Hybrid
• Щедрый отпуск: Нужно отдохнуть? Наша политика ежегодного отпуска позволяет вам восстановить силы и наслаждаться жизнью вне работы без забот.
• Программа рекомендаций сотрудников: Любите работать здесь? Делитесь этим. Приглашайте талантливых друзей и получайте вознаграждение за рост нашей команды.
• Комплексные медицинские и пенсионные льготы: От медицинской страховки до пенсионных планов — мы поддерживаем вас. Плюс региональные льготы и привилегии.
• Workation Wonderland: Реализуйте мечты цифрового кочевника с 30 дополнительными днями удалённой работы из любой точки мира (некоторые ограничения применяются).
• Дни волонтёрства: Возьмите два дополнительных оплачиваемых дня в год, чтобы поддержать важные для вас проекты и отдать долг сообществу.