Hai trovato la vulnerabilità all'1 di notte, l'hai documentata e tre settimane dopo un pagamento a quattro cifre arriva sul tuo conto per un lavoro fatto in pigiama. Sembra denaro trovato — finché non realizzi che l'IRS lo vede come reddito come qualsiasi altro, e la piattaforma che ti ha pagato potrebbe averlo già comunicato loro.
La caccia ai bug bounty è diventata un'attività seriamente redditizia. HackerOne ha pagato 81 milioni di dollari ai ricercatori in un singolo periodo di dodici mesi, con un aumento del 13% su base annua, con il programma attivo medio che paga circa 42.000 dollari all'anno. La maggior parte dei pagamenti individuali è modesta — il bounty divulgato mediano si aggira intorno ai 500 dollari — ma i migliori ricercatori ora guadagnano sei e sette cifre all'anno. Che tu abbia incassato un singolo pagamento da 300 dollari o un flusso costante di criticità, ecco come gestire correttamente il lato fiscale: cosa segnalano le piattaforme, quali moduli aspettarti, quando devi l'imposta sul lavoro autonomo e come la distinzione hobby-contro-impresa decide se i tuoi costi per gli strumenti sono deducibili.
Ogni Dollaro del Reddito da Bounty È Tassabile
Inizia con la regola che sorprende di più i cacciatori alle prime armi: i pagamenti dei bounty sono reddito ordinario dal primo dollaro. Non esiste un'eccezione de minimis per pagamenti "piccoli", nessuna esclusione del tipo "era solo un hobby quindi non conta" e nessun trattamento speciale stile plusvalenza perché il lavoro sembrava un gioco. Se un pagamento è arrivato sul tuo conto bancario, PayPal o portafoglio crypto, appartiene alla tua dichiarazione dei redditi.
Questo crea confusione perché il reddito da bounty arriva senza il meccanismo familiare di una busta paga — nessuna ritenuta, nessun W-2, nessun datore di lavoro che ti ricorda che le tasse esistono. Le piattaforme ti pagano al lordo e lasciano interamente a te il calcolo fiscale. Tratta ogni notifica di pagamento come una busta paga che devi saldare da solo, e non sarai mai colto di sorpresa ad aprile.
Cosa Segnalano Realmente HackerOne e Bugcrowd
I moduli fiscali che devi presentare prima di poter essere pagato
Entrambe le piattaforme principali raccolgono la documentazione fiscale da te come parte della configurazione dei pagamenti, prima che il denaro possa fluire. I ricercatori con sede negli Stati Uniti presentano il modulo W-9 (nome, indirizzo, numero di identificazione del contribuente); i ricercatori fuori dagli Stati Uniti presentano il modulo W-8 appropriato per documentare il loro status di straniero. La documentazione per i pagamenti ai ricercatori di Bugcrowd illustra percorsi di presentazione separati per W-9 e W-8 per persone statunitensi, individui non statunitensi ed entità non statunitensi. Se salti questo passaggio, i tuoi pagamenti restano in sospeso — le piattaforme non rilasciano fondi senza un modulo fiscale archiviato.
Prendi sul serio il W-9 anche come cacciatore occasionale: un ID fiscale mancante o errato può innescare una ritenuta suppletiva del 24% sui tuoi pagamenti, il che significa che la piattaforma trattiene quasi un quarto di ogni bounty e lo invia all'IRS. Alla fine lo riconcili nella tua dichiarazione, ma è un prestito senza interessi al Tesoro che non avevi mai bisogno di fare.
La soglia del 1099 è cambiata nel 2026
Per anni la regola è stata semplice: guadagna 600 dollari o più tramite una piattaforma in un anno solare e riceverai un modulo informativo (le piattaforme hanno storicamente utilizzato il modulo 1099-MISC per i pagamenti ai ricercatori). Per il 2026, la soglia di segnalazione è aumentata. Ai sensi del One Big Beautiful Bill Act, la soglia per l'emissione dei moduli 1099-NEC e della maggior parte dei pagamenti 1099-MISC è passata da 600 a 2.000 dollari per i pagamenti effettuati dopo il 31 dicembre 2025, con adeguamenti annuali all'inflazione a partire dal 2027.
In termini pratici: se i tuoi pagamenti totali del 2026 da una piattaforma restano sotto i 2.000 dollari, probabilmente non riceverai un 1099 da loro. Questo non rende il reddito esente da tasse. La soglia di segnalazione governa l'obbligo di documentazione della piattaforma, non il tuo obbligo di dichiarare. I 1.400 dollari guadagnati attraverso tre segnalazioni di media gravità sono comunque reddito tassabile anche senza modulo per posta, e l'IRS riceve abbastanza dati da terze parti oggigiorno che "nessuno l'ha segnalato" non è un piano. Denuncia tutto; tieni un registro tuo invece di aspettare che i moduli ti dicano quanto hai guadagnato.
Ricercatori non statunitensi
Se cacci dall'esterno degli Stati Uniti, i moduli della serie W-8 documentano il tuo status di straniero affinché la piattaforma possa applicare il corretto trattamento della ritenuta. I trattati fiscali e le regole sulla fonte del reddito — i pagamenti per servizi che svolgi dal tuo paese sono generalmente di fonte estera — determinano se si applica una ritenuta statunitense. Il tuo paese d'origine tasserà quasi certamente il reddito indipendentemente da ciò, quindi tieni traccia dei pagamenti nell'equivalente della tua valuta locale al momento della ricezione. Questa guida si concentra sul trattamento fiscale statunitense; se sei all'estero, conferma i dettagli con un consulente locale.
Hobby o Impresa? La Domanda Che Decide le Tue Detrazioni
La domanda fiscale più consequenziale per un cacciatore di bounty è se l'IRS classificherebbe la tua caccia come un'impresa o un hobby. Il reddito è tassabile in entrambi i casi — ma solo un'impresa può detrarre le proprie spese.
Come l'IRS traccia la linea
L'IRS valuta se svolgi l'attività con una genuina intenzione di realizzare un profitto, considerando fattori come:
- Svolgi l'attività in modo professionale — tenendo libri contabili, tracciando tempo e spese, mantenendo conti separati?
- Investi tempo e sforzi reali con l'obiettivo di guadagnare reddito?
- Dipendi dal reddito per il tuo sostentamento, o è incidentale?
- Hai cambiato i tuoi metodi per migliorare la redditività — specializzandoti in classi di bug meglio pagate, puntando a programmi con tabelle di ricompensa migliori?
- Hai le competenze, la formazione o la storia di studi di qualcuno che lavora verso il profitto?
- Hai realizzato un profitto negli anni precedenti e puoi ragionevolmente aspettarti un profitto futuro?
Un cacciatore che tiene traccia delle segnalazioni in un foglio di calcolo, si specializza in obiettivi ad alto valore, reinveste in strumenti e guadagna pagamenti in costante aumento sembra un'impresa. Qualcuno che armeggia con un programma del fine settimana due volte l'anno per divertimento sembra un hobby. La maggior parte dei cacciatori seri ricade chiaramente sul lato impresa — e le stesse linee guida dell'IRS notano che un'attività che guadagna reddito secondario anno dopo anno con comportamenti orientati al profitto è un'impresa anche se hai anche un lavoro dipendente.
C'è anche una presunzione chiara a tuo favore: se la tua attività mostra un profitto in tre degli ultimi cinque anni fiscali, l'IRS presume che sia un'impresa. La maggior parte dei cacciatori di bounty, i cui costi sono modesti rispetto ai pagamenti, supera facilmente questo limite una volta che guadagna in modo costante.
Perché la distinzione conta più che mai
Prima del 2018, gli hobbisti potevano almeno detrarre le spese dell'hobby fino all'importo del reddito dell'hobby come detrazione dettagliata varia. Il Tax Cuts and Jobs Act ha sospeso tutte le detrazioni dettagliate varie per il 2018-2025 — e il One Big Beautiful Bill Act ha reso quella sospensione permanente. Le spese per hobby ora non sono deducibili, punto.
Quindi se la tua caccia è un hobby, i tuoi abbonamenti VPS, la licenza di Burp Suite, la VPN, i corsi di formazione e i viaggi per conferenze sono spese personali secondo il codice fiscale. Se è un'impresa, quegli stessi costi sono spese aziendali ordinarie e necessarie deducibili sul Schedule C. Per un cacciatore che spende qualche migliaio di dollari all'anno in strumenti e infrastruttura, la sola classificazione può far oscillare la bolletta fiscale di centinaia di dollari.
Il rovescio della medaglia: il trattamento da impresa significa imposta sul lavoro autonomo
Non esiste il pranzo gratis. Il reddito d'impresa dichiarato sul Schedule C è soggetto all'imposta sul lavoro autonomo — 15,3% sul 92,35% del guadagno netto (fino alla base salariale della Social Security, più la parte Medicare del 2,9% oltre quella) — una volta che il tuo guadagno netto da lavoro autonomo raggiunge i 400 dollari per l'anno. Il reddito da hobby sfugge interamente all'imposta sul lavoro autonomo; paghi solo l'imposta sul reddito su di esso.
Fai i conti per la tua situazione invece di assumere che un risultato sia migliore. Un cacciatore con 8.000 dollari di pagamenti e 1.500 dollari di spese deducibili come impresa paga l'imposta sul reddito più l'imposta sul lavoro autonomo su 6.500 dollari di profitto netto. Lo stesso cacciatore come hobbista paga l'imposta sul reddito sull'intero importo di 8.000 dollari senza detrazioni e senza imposta sul lavoro autonomo. Quale vince dipende dalla tua aliquota marginale dell'imposta sul reddito — ma nota che non puoi scegliere liberamente. I fatti decidono la classificazione; il tuo compito è documentare quella che i fatti supportano. Classificare deliberatamente in modo errato il reddito d'impresa come reddito da hobby per eludere l'imposta sul lavoro autonomo è il tipo di posizione che fallisce nel momento in cui qualcuno chiede i tuoi libri contabili.
Detrazioni Che Vale la Pena Tracciare Come Cacciatore-Impresa
Se la tua caccia si qualifica come impresa, conserva le ricevute per tutto ciò che è genuinamente connesso al guadagno del reddito da bounty:
- Infrastruttura: VPS e istanze cloud per scansioni e test, domini per server di callback, abbonamenti VPN.
- Strumenti: strumenti di sicurezza commerciali e licenze, wordlist e dataset, crediti API per servizi di ricognizione.
- Formazione: corsi di formazione, certificazioni, libri e biglietti per conferenze che mantengono o migliorano le tue capacità di caccia.
- Ufficio domestico: se usi parte della tua casa regolarmente ed esclusivamente per il lavoro di caccia, la detrazione semplificata di $5 per piede quadrato (fino a 300 piedi quadrati) è denaro facile che la maggior parte dei cacciatori lascia sul tavolo.
- Commissioni: commissioni della piattaforma di pagamento e spread di conversione valutaria che erodono i pagamenti lordi — la differenza tra l'importo del bounty e ciò che effettivamente arriva è un costo reale.
La disciplina chiave è la separazione. Gestisci il reddito e le spese da bounty attraverso un conto dedicato o almeno un sistema di tracciamento dedicato, e registra ogni pagamento con data, programma, piattaforma, ID della segnalazione e importo lordo-netto. Quel registro è ciò che trasforma una scatola di notifiche PayPal in libri contabili professionali — che, circolarmente, è esso stesso prova che stai gestendo un'impresa.
Acconti Trimestrali: La Bolletta Che Nessuno Trattiene
Poiché nessun datore di lavoro trattiene dai pagamenti dei bounty, i cacciatori-impresa generalmente devono pagare acconti trimestrali (Modulo 1040-ES) una volta che prevedono di dovere 1.000 dollari o più per l'anno. Le scadenze — approssimativamente a metà aprile, metà giugno, metà settembre e metà gennaio — sorprendono i guadagnatori del primo anno che presumevano che le tasse fossero un problema di aprile. Le manchi e puoi dovere una penale per pagamento insufficiente oltre alla tassa stessa.
Due porti sicuri ti proteggono: paga almeno il 90% dell'imposta dell'anno corrente, o almeno il 100% dell'imposta totale dell'anno scorso (110% se il tuo reddito lordo rettificato supera i 150.000 dollari), distribuito sui quattro trimestri. Se hai anche un lavoro W-2, la mossa più semplice è spesso aumentare la ritenuta sulla busta paga abbastanza da coprire il reddito da bounty invece di presentare acconti trimestrali separati — la ritenuta è trattata come pagata uniformemente durante tutto l'anno indipendentemente da quando viene effettivamente trattenuta, il che la rende il modo più indulgente per restare dentro un porto sicuro.
Errori Comuni Che Costano Denaro Reale ai Cacciatori
Ignorare i pagamenti sotto la soglia del 1099. L'errore più comune nel mondo dei bounty. Nessun modulo non significa nessun reddito. L'IRS confronta ciò che può e controlla ciò che deve; il reddito non dichiarato scoperto in seguito comporta tasse più penali più interessi.
Detrarre le spese come hobbista. Le dichiarazioni post-2018 che richiedono spese per hobby sono semplicemente sbagliate, e la sospensione permanente significa che non tornerà mai più. Se la tua spesa per strumenti è significativa, questo è un argomento per gestire la tua caccia come una vera impresa — con libri contabili a provarlo — non per detrarre comunque.
Dimenticare l'imposta sul lavoro autonomo nel budget. I cacciatori-impresa al primo anno mettono abitualmente da parte il 22% per l'imposta sul reddito e dimenticano l'ulteriore ~15% per Social Security e Medicare. Una buona regola empirica: metti da parte il 25-30% di ogni pagamento netto il giorno in cui arriva, in un conto separato, prima di spenderne qualsiasi parte.
Mescolare finanze personali e di caccia. Pagare per l'infrastruttura di scansione dalla stessa carta delle spese alimentari rende impossibili libri contabili puliti e indebolisce la tua prova di classificazione come impresa. Un conto dedicato non costa nulla e si ripaga da solo al momento delle tasse.
Trattare gadget e ricompense non in denaro come gratis. Pass per conferenze, hardware e carte regalo assegnati tramite i programmi sono reddito al valore equo di mercato, come contanti. Registrali quando li ricevi.
Mantieni i Tuoi Libri dei Bounty Pronti per un Audit dal Primo Giorno
La tua storia di pagamenti è sparsa tra piattaforme, notifiche PayPal e depositi bancari — che è esattamente il motivo per cui i cacciatori sotto-dichiarano il reddito e pagano in eccesso le tasse su spese dimenticate. Mantenere chiare registrazioni finanziarie è ciò che trasforma un'attività secondaria divertente in un'impresa difendibile al momento delle tasse. Beancount.io fornisce contabilità in testo semplice che ti dà completa trasparenza e controllo sui tuoi dati finanziari — nessuna scatola nera, nessun vincolo al venditore. Inizia gratuitamente e scopri perché sviluppatori e professionisti finanziari stanno passando alla contabilità in testo semplice.
