Намерихте уязвимостта в 1 часа през нощта, описахте я и три седмици по-късно плащане с четири цифри каца в сметката ви за работа, свършена по пижама. Усеща се като намерени пари — докато не осъзнаете, че IRS го вижда като доход като всеки друг, а платформата, която ви е платила, може вече да ги е уведомила.
Ловът на уязвимости се е превърнал в сериозни пари. HackerOne е изплатил $81 милиона на изследователи в рамките на дванадесет месеца, което е увеличение от 13% на годишна база, като средната активна програма плаща около $42,000 годишно. Повечето индивидуални плащания са скромни — медианната разкрита награда е около $500 — но водещите изследователи вече печелят шест и седем цифри годишно. Независимо дали сте събрали едно плащане от $300 или стабилен поток от критични уязвимости, ето как да се справите правилно с данъчната страна: какво отчитат платформите, кои формуляри да очаквате, кога дължите данък за самонаети и как разграничението хоби срещу бизнес решава дали разходите ви за инструменти се приспадат.
Всеки лев от дохода от награди се облага
Започнете с правилото, което изненадва най-много начинаещите ловци: плащанията за награди са обикновен доход от първия лев. Няма изключение de minimis за „малки" плащания, няма изключение „беше просто хоби, така че не се брои" и няма специално третиране в стил капиталови печалби, защото работата се е усещала като игра. Ако плащане е достигнало банковата ви сметка, PayPal или крипто портфейла, то принадлежи на данъчната ви декларация.
Това обърква хората, защото доходът от награди пристига без познатия механизъм на заплатата — без удържане, без W-2, без работодател, който да ви напомня, че данъци съществуват. Платформите ви плащат брутната сума и оставят цялата данъчна математика на вас. Отнасяйте се към всяко известие за плащане като към фиш за заплата, който трябва да уредите сами, и никога няма да бъдете изненадани през април.
Какво всъщност отчитат HackerOne и Bugcrowd
Данъчните формуляри, които подавате, преди да можете да получавате плащания
И двете големи платформи събират данъчна документация от вас като част от настройката на плащанията, преди парите да могат да текат. Изследователите от САЩ подават формуляр W-9 (име, адрес, идентификационен номер на данъкоплатеца); изследователите извън САЩ подават съответния формуляр W-8, за да документират чуждестранния си статус. Документацията за плащания към изследователи на Bugcrowd описва отделни пътища за подаване на W-9 и W-8 за лица от САЩ, физически лица извън САЩ и юридически лица извън САЩ. Ако пропуснете тази стъпка, плащанията ви остават в неизвестност — платформите няма да освободят средства без подаден данъчен формуляр.
Отнасяйте се сериозно към W-9 дори като случаен ловец: липсващ или неправилен данъчен идентификационен номер може да задейства 24% резервно удържане върху плащанията ви, което означава, че платформата удържа почти една четвърт от всяка награда и я изпраща на IRS. В крайна сметка го уреждате в декларацията си, но това е безлихвен заем към хазната, който никога не е трябвало да правите.
Прагът за 1099 се промени през 2026 г.
В продължение на години правилото беше просто: спечелите $600 или повече чрез платформа през календарна година и ще получите информационна декларация (платформите исторически са използвали формуляр 1099-MISC за плащания към изследователи). За 2026 г. прагът за отчитане скочи. Съгласно Закона One Big Beautiful Bill Act, прагът за издаване на формуляри 1099-NEC и повечето плащания по 1099-MISC се повиши от $600 на $2,000 за плащания, направени след 31 декември 2025 г., с годишни корекции за инфлация, започващи от 2027 г.
На практика: ако общите ви плащания за 2026 г. от една платформа останат под $2,000, вероятно няма да получите 1099 от тях. Това не прави дохода освободен от данъци. Прагът за отчитане урежда задължението за документация на платформата, не вашето задължение да декларирате. $1,400-те, които сте спечелили от три доклада със средна тежест, все още са облагаем доход, дори без формуляр по пощата, а IRS получава достатъчно данни от трети страни в наши дни, че „никой не го е декларирал" не е план. Декларирайте всичко; водете си собствена книга, вместо да чакате формуляри, за да ви кажат какво сте спечелили.
Изследователи извън САЩ
Ако ловувате извън Съединените щати, формулярите от серия W-8 документират чуждестранния ви статус, така че платформата да може да приложи правилното третиране на удържане. Данъчните спогодби и правилата за източник на дохода — плащанията за услуги, които извършвате от собствената си страна, обикновено са с чуждестранен източник — определят дали изобщо се прилага някакво американско удържане. Вашата родна страна почти сигурно ще обложи дохода независимо от това, така че следете плащанията в еквивалента на местната валута към момента на получаване. Това ръководство се фокусира върху данъчното третиране в САЩ; ако сте в чужбина, потвърдете детайлите с местен съветник.
Хоби или бизнес? Въпросът, който решава вашите приспадания
Най-важният данъчен въпрос за ловец на уязвимости е дали IRS би класифицирало лова ви като бизнес или хоби. Доходът се облага и в двата случая — но само бизнесът може да приспада разходите си.
Как IRS прави разграничението
IRS гледа дали преследвате дейността с искрено намерение за печалба, като взема предвид фактори като:
- Извършвате ли дейността по делови начин — водите ли книги, следите ли време и разходи, поддържате ли отделни сметки?
- Инвестирате ли реално време и усилия с цел печалба?
- Зависите ли от дохода за прехраната си, или той е случаен?
- Променяли ли сте методите си, за да подобрите рентабилността — специализирате ли в по-високоплатени класове уязвимости, насочвате ли се към програми с по-добри таблици за награди?
- Имате ли експертизата, обучението или историята на учене на някой, който работи за печалба?
- Имали ли сте печалба в предходни години и можете ли разумно да очаквате бъдеща печалба?
Ловец, който следи подаванията в електронна таблица, специализира се във високостойностни цели, реинвестира в инструменти и печели стабилно нарастващи плащания, изглежда като бизнес. Някой, който си играе с уикенд програма два пъти годишно за забавление, изглежда като хоби. Повечето сериозни ловци попадат ясно от страната на бизнеса — а собствените насоки на IRS отбелязват, че дейност, която носи страничен доход година след година с поведение, насочено към печалба, е бизнес, дори ако имате и редовна работа.
Има и ясна презумпция във ваша полза: ако дейността ви показва печалба в три от последните пет данъчни години, IRS предполага, че е бизнес. Повечето ловци на уязвимости, чиито разходи са скромни спрямо плащанията, лесно преминават този праг, след като печелят постоянно.
Защо разграничението е по-важно от всякога
Преди 2018 г. хобистите можеха поне да приспадат разходите за хоби до размера на дохода от хоби като разни подробни удръжки. Законът Tax Cuts and Jobs Act спря всички разни подробни удръжки за 2018–2025 г. — а Законът One Big Beautiful Bill Act направи това спиране постоянно. Разходите за хоби вече не се приспадат, точка.
Така че ако ловът ви е хоби, вашите абонаменти за VPS, лицензът за Burp Suite, VPN, курсовете за обучение и пътуванията за конференции са лични разходи, доколкото данъчният кодекс ги засяга. Ако е бизнес, същите тези разходи са обикновени и необходими бизнес разходи, приспадаеми в Приложение C. За ловец, който харчи няколко хиляди долара годишно за инструменти и инфраструктура, самото класифициране може да промени данъчната сметка със стотици долари.
Уловката: бизнес третирането означава данък за самонаети
Няма безплатен обяд. Бизнес доходът, деклариран в Приложение C, подлежи на данък за самонаети — 15.3% върху 92.35% от нетните приходи (до базата за социално осигуряване, плюс 2.9% част за Medicare отвъд нея) — след като нетните ви приходи от самонаемане достигнат $400 за годината. Доходът от хоби избягва данъка за самонаети изцяло; плащате само данък върху дохода върху него.
Направете математиката за вашата ситуация, вместо да предполагате, че единият резултат е по-добър. Ловец с $8,000 плащания и $1,500 приспадаеми разходи като бизнес плаща данък върху дохода плюс данък за самонаети върху $6,500 нетна печалба. Същият ловец като хобист плаща данък върху дохода върху пълните $8,000 без приспадания и без данък за самонаети. Кое печели зависи от пределната ви ставка на данъка върху дохода — но имайте предвид, че не можете да избирате свободно. Фактите решават класификацията; вашата работа е да документирате това, което фактите подкрепят. Умишленото класифициране на бизнес доход като доход от хоби, за да избегнете данъка за самонаети, е позиция, която се проваля в момента, в който някой поиска книгите ви.
Приспадания, които си струва да следите като бизнес ловец
Ако ловът ви се квалифицира като бизнес, пазете разписки за всичко, което е наистина свързано с печеленето на доход от награди:
- Инфраструктура: VPS и облачни инстанции за сканиране и тестване, домейни за callback сървъри, VPN абонаменти.
- Инструменти: търговски инструменти за сигурност и лицензи, списъци с думи и набори от данни, API кредити за услуги за разузнаване.
- Обучение: курсове за обучение, сертификати, книги и билети за конференции, които поддържат или подобряват уменията ви за лов.
- Домашен офис: ако използвате част от дома си редовно и изключително за ловна работа, опростеното приспадане от $5 на квадратен фут (до 300 квадратни фута) е лесни пари, които повечето ловци оставят на масата.
- Такси: такси на платежни платформи и разлики при конвертиране на валута, които намаляват брутните плащания — разликата между сумата на наградата и това, което реално пристига, е реален разход.
Ключовата дисциплина е разделянето. Пропускайте дохода и разходите от награди през специална сметка или поне специална система за проследяване и записвайте всяко плащане с дата, програма, платформа, ID на доклада и брутна срещу нетна сума. Този дневник е това, което превръща кутия с PayPal известия в делови книги — което, по ирония, само по себе си е доказателство, че управлявате бизнес.
Тримесечни авансови данъци: Сметката, която никой не удържа
Тъй като никой работодател не удържа от плащанията за награди, бизнес ловците обикновено трябва да плащат тримесечни авансови данъци (формуляр 1040-ES), след като очакват да дължат $1,000 или повече за годината. Крайните срокове — приблизително средата на април, средата на юни, средата на септември и средата на януари — изненадват печелившите през първата година, които са предположили, че данъците са априлски проблем. Пропуснете ги и може да дължите неустойка за неплатена сума върху самия данък.
Две безопасни пристанища ви защитават: платете поне 90% от данъка за текущата година или поне 100% от общия данък за миналата година (110%, ако коригираният ви брутен доход надвишава $150,000), разпределени в четирите тримесечия. Ако също имате работа с W-2, най-простият ход често е да увеличите удържането от заплатата достатъчно, за да покриете дохода от награди, вместо да подавате отделни тримесечни декларации — удържането се третира като платено равномерно през годината, независимо кога реално е удържано, което го прави най-прощаващият начин да останете в безопасно пристанище.
Често срещани грешки, които струват на ловците реални пари
Игнориране на плащания под прага за 1099. Най-честата грешка в света на наградите. Липсата на формуляр не означава липса на доход. IRS съпоставя каквото може и одитира каквото трябва; недеклариран доход, открит по-късно, носи данък плюс неустойки плюс лихви.
Приспадане на разходи като хобист. Декларации след 2018 г., претендиращи разходи за хоби, са просто грешни, а постоянното спиране означава, че това никога няма да се върне. Ако разходите ви за инструменти са значителни, това е аргумент да управлявате лова си като реален бизнес — с книги, които да го докажат — а не да приспадате въпреки това.
Забравяне на данъка за самонаети в бюджета. Бизнес ловците през първата година рутинно заделят 22% за данък върху дохода и забравят допълнителните ~15% за социално осигуряване и Medicare. Добро правило: заделете 25–30% от всяко нетно плащане в деня, в който пристигне, в отделна сметка, преди да похарчите и стотинка от тях.
Смесване на лични и ловни финанси. Плащането за инфраструктура за сканиране със същата карта като за хранителни стоки прави чистите книги невъзможни и отслабва доказателствата ви за бизнес класификация. Една специална сметка не струва нищо и се изплаща на данъчно време.
Отнасяне към сувенири и непарични награди като безплатни. Пропуски за конференции, хардуер и ваучери за подаръци, присъдени чрез програми, са доход по справедлива пазарна стойност, също като пари. Записвайте ги при получаване.
Поддържайте книгите си за награди готови за одит от първия ден
Историята на плащанията ви е разпръсната из платформи, PayPal известия и банкови депозити — което е точно защо ловците подценяват дохода и надплащат данъци за разходи, които са забравили. Поддържането на ясни финансови записи е това, което превръща забавна странична дейност в защитим бизнес на данъчно време. Beancount.io предоставя счетоводство в обикновен текст, което ви дава пълна прозрачност и контрол върху финансовите ви данни — без черни кутии, без обвързване с доставчик. Започнете безплатно и вижте защо разработчици и финансови професионалисти преминават към счетоводство в обикновен текст.
