Web3安全工程师（应用与协议安全）

安全工程师（应用与协议安全）

项目简介：Perp DEX（永续合约去中心化交易所），自研交易链与配套系统，测试网已跑通，即将进入生产阶段。

职责

1、威胁建模。 对每条资金流和核心组件做威胁建模，产出攻击路径清单，按损失排出防守优先级。

2、安全设计评审。 新功能上线前审认证授权方案、失败时的默认行为、最小权限、密钥的生成与存储。

3、代码审计。 手工审核心逻辑找业务漏洞，配合静态分析和模糊测试扩大覆盖；熟悉所用语言的漏洞类别。

4、密码学使用。 保证标准密码学构造用法正确：签名域隔离、随机数来源、密钥轮换、证书校验。

5、网络与基础设施。 攻击面最小化，端口和接口默认不对外暴露；给出拒绝服务承受能力的量化结论；密钥与凭据的存储、分发、吊销落实成制度。

6、对抗验证。 定期做渗透测试或红队演练，发现问题按损失分级、限期修复、逐项复测。

7、事件响应。 建立漏洞报告渠道和分级响应流程；事件后止血、取证、复盘，转化为回归用例和流程改进。

8、外部协同。 对接第三方审计和漏洞赏金计划，跟进发现项的修复与复测。

任职要求

1、2 年以上安全工程经验，其中 1 年以上区块链或金融方向。

2、能读系统级语言代码（Rust、C/C++、Go）找出逻辑漏洞，写出可复现的分析报告。

3、掌握威胁建模方法，并落成过具体检查项。

4、网络安全实战：TLS 配置、攻击面收敛、拒绝服务防护、渗透测试出报告。

5、了解密钥管理：冷热分离、多签或门限签名、硬件安全模块或云密钥管理服务。

6、有在既有代码库和既定流程内提出并落地安全改进的经历；入职后在既有 Rust 代码库上工作。

加分项

1、有智能合约或跨链桥的审计经历。

2、做过 BFT 类共识协议的安全分析。

3、有公开 CVE、漏洞赏金平台的采纳记录，或区块链方向 CTF 名次。