Encontraste la vulnerabilidad a la 1 a.m., la documentaste, y tres semanas después un pago de cuatro cifras llega a tu cuenta por trabajo que hiciste en pijama. Se siente como dinero encontrado — hasta que te das cuenta de que el IRS lo ve como ingresos como cualquier otro, y la plataforma que te pagó quizás ya les ha informado al respecto.
La caza de bug bounties se ha convertido en dinero serio. HackerOne pagó $81 millones a investigadores en un solo período de doce meses, un aumento del 13% interanual, con el programa activo promedio pagando aproximadamente $42,000 al año. La mayoría de los pagos individuales son modestos — el bounty divulgado mediano ronda los $500 — pero los investigadores principales ahora ganan seis y siete cifras anualmente. Ya sea que hayas cobrado un pago de $300 o un flujo constante de críticos, aquí te decimos cómo manejar correctamente el lado fiscal: qué reportan las plataformas, qué formularios esperar, cuándo debes impuesto de autoempleo, y cómo la distinción hobby-versus-negocio decide si tus costos de herramientas son deducibles.
Cada Dólar de Ingresos por Bounty es Gravable
Empieza con la regla que más sorprende a los cazadores primerizos: los pagos de bounty son ingresos ordinarios desde el primer dólar. No hay excepción de minimis para pagos "pequeños", no hay exclusión de "era solo un hobby así que no cuenta", y no hay tratamiento especial estilo ganancias de capital porque el trabajo se sintiera como un juego. Si un pago llegó a tu cuenta bancaria, PayPal, o billetera de criptomonedas, pertenece a tu declaración.
Esto confunde a la gente porque los ingresos por bounty llegan sin la maquinaria familiar de un cheque de pago — sin retención, sin W-2, sin empleador que te recuerde que los impuestos existen. Las plataformas te pagan el monto bruto y te dejan todo el cálculo fiscal a ti. Trata cada notificación de pago como un talón de cheque que debes liquidar tú mismo, y nunca te tomarán por sorpresa en abril.
Qué Reportan Realmente HackerOne y Bugcrowd
Los formularios de impuestos que presentas antes de poder cobrar
Ambas plataformas principales recopilan documentación fiscal tuya como parte de la configuración de pagos, antes de que el dinero pueda fluir. Los investigadores con sede en EE. UU. presentan el Formulario W-9 (nombre, dirección, número de identificación del contribuyente); los investigadores fuera de EE. UU. presentan el formulario W-8 correspondiente para documentar su estatus de extranjero. La documentación de pagos para investigadores de Bugcrowd detalla rutas de presentación separadas de W-9 y W-8 para personas estadounidenses, individuos no estadounidenses y entidades no estadounidenses. Si omites este paso, tus pagos quedan en el limbo — las plataformas no liberarán fondos sin un formulario de impuestos archivado.
Tómate el W-9 en serio incluso como cazador ocasional: una identificación de contribuyente faltante o incorrecta puede desencadenar una retención de respaldo del 24% en tus pagos, lo que significa que la plataforma retiene casi una cuarta parte de cada bounty y la envía al IRS. Eventualmente lo concilias en tu declaración, pero es un préstamo sin intereses al Tesoro que nunca necesitaste hacer.
El umbral de 1099 cambió en 2026
Durante años, la regla fue simple: gana $600 o más a través de una plataforma en un año calendario y recibirías una declaración informativa (las plataformas históricamente han usado el Formulario 1099-MISC para pagos a investigadores). Para 2026, el umbral de reporte subió. Bajo la Ley One Big Beautiful Bill, el umbral para emitir Formularios 1099-NEC y la mayoría de los pagos 1099-MISC subió de $600 a $2,000 para pagos realizados después del 31 de diciembre de 2025, con ajustes anuales por inflación comenzando en 2027.
En términos prácticos: si tus pagos totales de 2026 de una plataforma se mantienen por debajo de $2,000, probablemente no recibirás un 1099 de ellos. Eso no hace que los ingresos estén libres de impuestos. El umbral de reporte rige la obligación de papeleo de la plataforma, no tu obligación de reportar. Los $1,400 que ganaste en tres informes de gravedad media siguen siendo ingresos gravables incluso sin formulario en el correo, y el IRS recibe suficientes datos de terceros hoy en día que "nadie lo reportó" no es un plan. Reporta todo; lleva tu propio registro en lugar de esperar a que los formularios te digan cuánto ganaste.
Investigadores no estadounidenses
Si cazas desde fuera de los Estados Unidos, los formularios de la serie W-8 documentan tu estatus de extranjero para que la plataforma pueda aplicar el tratamiento de retención correcto. Los tratados fiscales y las reglas de fuente de ingresos — los pagos por servicios que realizas desde tu propio país generalmente son de fuente extranjera — determinan si alguna retención de EE. UU. aplica en absoluto. Tu país de origen casi con certeza gravará los ingresos de todos modos, así que rastrea los pagos en tu equivalente de moneda local al momento de recibirlos. Esta guía se centra en el tratamiento fiscal de EE. UU.; si estás en el extranjero, confirma los detalles con un asesor local.
¿Hobby o Negocio? La Pregunta que Decide tus Deducciones
La pregunta fiscal más consecuente para un cazador de bounties es si el IRS clasificaría tu caza como un negocio o un hobby. Los ingresos son gravables de cualquier manera — pero solo un negocio puede deducir sus gastos.
Cómo traza el IRS la línea
El IRS observa si persigues la actividad con una intención genuina de obtener ganancias, sopesando factores como:
- ¿Llevas a cabo la actividad de manera profesional — manteniendo libros, rastreando tiempo y gastos, manteniendo cuentas separadas?
- ¿Inviertes tiempo y esfuerzo reales con el objetivo de ganar ingresos?
- ¿Dependes de los ingresos para tu sustento, o son incidentales?
- ¿Has cambiado tus métodos para mejorar la rentabilidad — especializándote en clases de bugs mejor pagadas, apuntando a programas con mejores tablas de recompensas?
- ¿Tienes la experiencia, capacitación o historial de estudio de alguien que trabaja hacia la ganancia?
- ¿Has obtenido ganancias en años anteriores, y puedes esperar razonablemente ganancias futuras?
Un cazador que rastrea envíos en una hoja de cálculo, se especializa en objetivos de alto valor, reinvierte en herramientas y gana pagos en aumento constante parece un negocio. Alguien que hurga en un programa de fin de semana dos veces al año por diversión parece un hobby. La mayoría de los cazadores serios caen claramente en el lado del negocio — y la propia guía del IRS señala que una actividad que genera ingresos secundarios año tras año con comportamiento orientado a la ganancia es un negocio incluso si también tienes un trabajo de tiempo completo.
También hay una presunción clara a tu favor: si tu actividad muestra una ganancia en tres de los últimos cinco años fiscales, el IRS presume que es un negocio. La mayoría de los cazadores de bounties, cuyos costos son modestos en relación con los pagos, superan ese umbral fácilmente una vez que ganan de manera consistente.
Por qué la distinción importa más que nunca
Antes de 2018, los aficionados podían al menos deducir gastos de hobby hasta el monto de los ingresos del hobby como deducción detallada miscelánea. La Ley de Empleos y Reducción de Impuestos suspendió todas las deducciones detalladas misceláneas para 2018 hasta 2025 — y la Ley One Big Beautiful Bill hizo que esa suspensión fuera permanente. Los gastos de hobby ahora no son deducibles, punto.
Entonces, si tu caza es un hobby, tus suscripciones de VPS, licencia de Burp Suite, VPN, cursos de capacitación y viajes a conferencias son gastos personales según el código fiscal. Si es un negocio, esos mismos costos son gastos comerciales ordinarios y necesarios deducibles en el Anexo C. Para un cazador que gasta unos pocos miles de dólares al año en herramientas e infraestructura, la clasificación por sí sola puede cambiar la factura de impuestos por cientos de dólares.
La trampa: el tratamiento de negocio significa impuesto de autoempleo
No hay almuerzo gratis. Los ingresos comerciales reportados en el Anexo C están sujetos al impuesto de autoempleo — 15.3% sobre el 92.35% de las ganancias netas (hasta la base salarial del Seguro Social, más la porción de Medicare del 2.9% más allá de eso) — una vez que tus ganancias netas de autoempleo alcanzan los $400 para el año. Los ingresos de hobby escapan completamente al impuesto de autoempleo; solo pagas impuesto sobre la renta por ellos.
Haz las matemáticas para tu situación en lugar de asumir que un resultado es mejor. Un cazador con $8,000 en pagos y $1,500 en gastos deducibles como negocio paga impuesto sobre la renta más impuesto de autoempleo sobre $6,500 de ganancia neta. El mismo cazador como aficionado paga impuesto sobre la renta sobre los $8,000 completos sin deducciones y sin impuesto de autoempleo. Cuál gana depende de tu tasa marginal de impuesto sobre la renta — pero ten en cuenta que no puedes elegir libremente. Los hechos deciden la clasificación; tu trabajo es documentar la que los hechos respalden. Clasificar deliberadamente ingresos de negocio como ingresos de hobby para evadir el impuesto de autoempleo es el tipo de posición que fracasa en el momento en que alguien pide tus libros.
Deducciones que Vale la Pena Rastrear como Cazador de Negocio
Si tu caza califica como negocio, guarda recibos de todo lo genuinamente conectado con ganar ingresos por bounty:
- Infraestructura: instancias VPS y de nube para escaneo y pruebas, dominios para servidores de devolución de llamada, suscripciones de VPN.
- Herramientas: herramientas y licencias de seguridad comerciales, listas de palabras y conjuntos de datos, créditos de API para servicios de reconocimiento.
- Aprendizaje: cursos de capacitación, certificaciones, libros y boletos de conferencias que mantengan o mejoren tus habilidades de caza.
- Oficina en casa: si usas parte de tu hogar regularmente y exclusivamente para trabajo de caza, la deducción simplificada de $5 por pie cuadrado (hasta 300 pies cuadrados) es dinero fácil que la mayoría de los cazadores dejan sobre la mesa.
- Tarifas: tarifas de plataformas de pago y márgenes de conversión de moneda que reducen los pagos brutos — la diferencia entre el monto del bounty y lo que realmente llega es un costo real.
La disciplina clave es la separación. Maneja los ingresos y gastos de bounty a través de una cuenta dedicada o al menos un sistema de rastreo dedicado, y registra cada pago con su fecha, programa, plataforma, ID de informe y monto bruto-versus-neto. Ese registro es lo que convierte una caja de zapatos de notificaciones de PayPal en libros profesionales — lo cual, circularmente, es en sí mismo evidencia de que estás dirigiendo un negocio.
Impuestos Estimados Trimestrales: La Factura que Nadie Retiene
Debido a que ningún empleador retiene de los pagos de bounty, los cazadores de negocio generalmente deben pagar impuestos estimados trimestrales (Formulario 1040-ES) una vez que esperan deber $1,000 o más para el año. Los plazos — aproximadamente mediados de abril, mediados de junio, mediados de septiembre y mediados de enero — sorprenden a los que ganan por primera vez que asumieron que los impuestos eran un problema de abril. Incumplirlos y puedes deber una penalidad por pago insuficiente además del impuesto en sí.
Dos puertos seguros te protegen: paga al menos el 90% del impuesto del año actual, o al menos el 100% del impuesto total del año anterior (110% si tu ingreso bruto ajustado supera los $150,000), distribuido en los cuatro trimestres. Si también tienes un trabajo W-2, el movimiento más simple a menudo es aumentar la retención del cheque de pago lo suficiente para cubrir los ingresos por bounty en lugar de presentar trimestrales separados — la retención se trata como pagada uniformemente durante todo el año sin importar cuándo se retenga realmente, lo que la convierte en la forma más indulgente de permanecer dentro de un puerto seguro.
Errores Comunes que Cuestan Dinero Real a los Cazadores
Ignorar pagos por debajo del umbral de 1099. El error más común en el mundo de los bounties. Sin formulario no significa sin ingresos. El IRS compara lo que puede y audita lo que debe; los ingresos no reportados descubiertos más tarde traen impuestos más penalidades más intereses.
Deducir gastos como aficionado. Las declaraciones posteriores a 2018 que reclaman gastos de hobby son simplemente incorrectas, y la suspensión permanente significa que esto nunca volverá. Si tu gasto en herramientas es significativo, ese es un argumento para dirigir tu caza como un negocio real — con libros que lo demuestren — no para deducir de todos modos.
Olvidar el impuesto de autoempleo en el presupuesto. Los cazadores de negocio de primer año rutinariamente apartan el 22% para impuesto sobre la renta y olvidan el ~15% adicional para Seguro Social y Medicare. Una buena regla general: aparta el 25–30% de cada pago neto el día que llega, en una cuenta separada, antes de gastar cualquier parte.
Mezclar finanzas personales y de caza. Pagar por infraestructura de escaneo con la misma tarjeta que los comestibles hace que los libros limpios sean imposibles y debilita tu evidencia de clasificación de negocio. Una cuenta dedicada no cuesta nada y se paga sola en la temporada de impuestos.
Tratar el swag y las recompensas no monetarias como gratis. Pases de conferencia, hardware y tarjetas de regalo otorgados a través de programas son ingresos a valor justo de mercado, igual que efectivo. Regístralos cuando los recibas.
Mantén tus Libros de Bounty Listos para Auditoría Desde el Primer Día
Tu historial de pagos está disperso en plataformas, notificaciones de PayPal y depósitos bancarios — que es exactamente por qué los cazadores subreportan ingresos y pagan de más impuestos por gastos olvidados. Mantener registros financieros claros es lo que convierte una actividad secundaria divertida en un negocio defendible en la temporada de impuestos. Beancount.io proporciona contabilidad en texto plano que te da transparencia y control completos sobre tus datos financieros — sin cajas negras, sin bloqueo de proveedor. Comienza gratis y ve por qué desarrolladores y profesionales de finanzas están cambiando a la contabilidad en texto plano.
