职位描述

成功在前90天看起来像：完整的威胁模型和风险登记册，生产环境中前五大安全问题的缓解，标准化的错误封装 shipped，以及第一个健康端点 live。在12个月内，您将建立平台的监控 backbone，将签名密钥从环境变量迁移到托管 custody，以及构建整个团队依赖的事件响应实践。

此角色位于工程组织的基础。您将负责代码库、custody 和 operations 的安全，不隶属于现有安全团队，也不通过管理层层级报告。堆栈是 NestJS 11 + TypeScript + PostgreSQL (Prisma) + Redis，带有多链 custody（EVM, Solana, Tron, Bitcoin） via coinspad, KYC via SumSub, 和一个跨 deposits, withdrawals, and on-chain integrations 的 Web3-native 架构。

任职要求

至少五年在真实货币平台（金融科技、支付、交易所或新银行）的应用安全或产品安全经验
在 Node.js 和 TypeScript 上的生产经验
直接经验实施 webhook 安全：HMAC 验证、重放保护、idempotency
直接经验使用 KMS、HSM 或 MPC custody 系统，如 AWS KMS、GCP KMS、Fireblocks 或等价物
了解 Web3 空间：热/暖/冷钱包架构，至少一个主要链（EVM, Solana, Tron, 或 Bitcoin）上的链上交易流程，以及 custodial 钱包基础设施的威胁模型
在大规模部署 JWT 或基于会话的认证，包括撤销机制的经验
至少一个具体的 end-to-end 事件响应例子（检测、遏制、事后分析、跟进）
在 web 应用和 API 上的渗透测试熟练度
为深夜轮班提供主要工作时间的可用性
优秀的书面沟通技能用于安全文档、威胁模型和事后分析