새벽 1시에 취약점을 발견하고, 보고서를 작성하고, 3주 후 잠옷 차림으로 한 일에 대해 네 자리 수의 돈이 계좌에 들어옵니다. 발견한 돈처럼 느껴지지만, IRS가 다른 소득과 마찬가지로 이를 과세 대상으로 보고 있으며, 지급한 플랫폼이 이미 그 사실을 알렸을 수 있다는 것을 깨닫기 전까지는 그렇습니다.
버그 바운티 헌팅은 상당한 규모의 산업으로 성장했습니다. HackerOne은 단 12개월 동안 연구자들에게 8,100만 달러를 지급했으며, 이는 전년 대비 13% 증가한 수치입니다. 평균적으로 활성 프로그램은 연간 약 42,000달러를 지급합니다. 개별 지급액은 대부분 적당한 수준입니다. 공개된 바운티의 중앙값은 약 500달러이지만, 최고 연구자들은 이제 연간 6자리에서 7자리 수익을 올리고 있습니다. 300달러짜리 지급액을 한 번 받았든, 일정한 흐름의 심각도 높은 취약점 보고를 통해 꾸준히 받았든, 세금 측면을 올바르게 처리하는 방법은 다음과 같습니다: 플랫폼이 무엇을 보고하는지, 어떤 양식을 기대해야 하는지, 언제 자영업 세금을 내야 하는지, 취미 대 사업 판정이 도구 비용 공제 여부를 어떻게 결정하는지.
바운티 소득 1달러마다 과세 대상
처음 사냥을 시작하는 사람들이 가장 놀라는 규칙부터 시작합니다: 바운티 지급액은 첫 1달러부터 일반 소득입니다. "적은" 지급액에 대한 최소한의 예외(de minimis exception)도 없고, "그냥 취미라서 해당되지 않는다"는 제외 조항도 없으며, 그 일이 게임처럼 느껴진다고 해서 자본 이득과 같은 특별 대우도 없습니다. 지급액이 은행 계좌, PayPal, 또는 암호화폐 지갑에 들어왔다면, 그 돈은 세금 신고서에 포함되어야 합니다.
이것은 바운티 소득이 급여 명세서의 익숙한 장치(원천징수, W-2, 세금이 존재한다는 것을 상기시켜 주는 고용주) 없이 도착하기 때문에 사람들을 혼란스럽게 합니다. 플랫폼은 총액을 지급하고 세금 계산은 전적으로 당신에게 맡깁니다. 모든 지급 알림을 스스로 정산해야 하는 급여 명세서로 취급하면 4월에 당황하는 일은 없을 것입니다.
HackerOne과 Bugcrowd가 실제로 보고하는 것
지급을 받기 전에 제출해야 하는 세금 양식
두 주요 플랫폼 모두 결제 설정의 일부로, 돈이 흐르기 전에 세금 서류를 수집합니다. 미국 기반 연구자는 W-9 양식(이름, 주소, 납세자 식별 번호)을 제출하며, 미국 외 연구자는 외국인 지위를 문서화하기 위해 해당 W-8 양식을 제출합니다. Bugcrowd의 연구자 지급 문서에는 미국인, 미국 외 개인, 미국 외 법인에 대한 별도의 W-9 및 W-8 제출 경로가 설명되어 있습니다. 이 단계를 건너뛰면 지급액이 보류 상태에 머물게 됩니다. 플랫폼은 세금 양식이 등록되지 않으면 자금을 풀어주지 않습니다.
캐주얼한 사냥꾼이라도 W-9를 진지하게 받아들이십시오: 누락되거나 잘못된 납세자 ID는 지급액에 대해 24%의 백업 원천징수(backup withholding)를 촉발할 수 있습니다. 이는 플랫폼이 모든 바운티의 거의 4분의 1을 보류하고 IRS에 보낸다는 것을 의미합니다. 결국 세금 신고 시 정산되지만, 내지 않아도 될 돈을 재무부에 무이자로 빌려주는 셈입니다.
2026년에 변경된 1099 보고 기준
수년 동안 규칙은 간단했습니다: 캘린더 연도에 플랫폼을 통해 600달러 이상을 벌면 정보 보고서(플랫폼은 역사적으로 연구자 지급액에 Form 1099-MISC를 사용)를 받게 됩니다. 2026년에는 보고 기준이 크게 인상되었습니다. One Big Beautiful Bill Act에 따라 1099-NEC 및 대부분의 1099-MISC 지급에 대한 발행 기준이 2025년 12월 31일 이후 지급분부터 600달러에서 2,000달러로 상향되었으며, 2027년부터는 매년 인플레이션 조정이 적용됩니다.
실질적으로 말하면: 한 플랫폼에서 2026년 총 지급액이 2,000달러 미만이면 아마도 1099 양식을 받지 못할 것입니다. 그렇다고 해서 소득이 면세가 되는 것은 아닙니다. 보고 기준은 플랫폼의 서류 의무를 규율할 뿐, 당신의 신고 의무를 규율하지 않습니다. 세 건의 중간 심각도 보고서로 번 1,400달러는 양식이 우편으로 오지 않더라도 여전히 과세 대상 소득이며, IRS는 요즘 충분한 제3자 데이터를 받기 때문에 "아무도 신고하지 않았다"는 것은 계획이 아닙니다. 모든 것을 신고하고, 양식이 알려줄 때까지 기다리지 말고 자체 장부를 유지하십시오.
미국 외 연구자
미국 밖에서 사냥하는 경우, W-8 시리즈 양식은 플랫폼이 올바른 원천징수 처리를 적용할 수 있도록 외국인 지위를 문서화합니다. 조세 조약과 원천 소득 규칙(자국에서 수행한 서비스에 대한 지급은 일반적으로 외국 원천 소득)에 따라 미국 원천징수가 적용되는지 여부가 결정됩니다. 귀하의 본국은 거의 확실히 소득에 대해 세금을 부과하므로, 수령 시점의 현지 통화 환산액을 기록하십시오. 이 가이드는 미국 세금 처리를 중심으로 합니다. 해외에 계시다면 현지 전문가와 세부 사항을 확인하십시오.
취미 또는 사업? 공제를 결정하는 질문
바운티 헌터에게 가장 중요한 세금 질문은 IRS가 여러분의 헌팅을 사업으로 분류할지 취미로 분류할지입니다. 소득은 어느 쪽이든 과세 대상이지만, 비용을 공제할 수 있는 것은 사업뿐입니다.
IRS가 선을 긋는 방법
IRS는 활동을 이윤 창출의 진정한 의도로 수행하는지 여부를 다음 요소를 고려하여 판단합니다:
- 활동을 사업적인 방식으로 수행하는가(장부 작성, 시간과 비용 추적, 별도 계좌 유지)?
- 소득 창출을 목표로 실제 시간과 노력을 투자하는가?
- 그 소득이 생계에 의존하는가, 아니면 부수적인가?
- 수익성을 개선하기 위해 방법을 변경했는가(더 높은 지급을 제공하는 버그 클래스 전문화, 더 나은 보상 테이블을 가진 프로그램 타겟팅)?
- 이윤을 위해 일하는 사람의 전문성, 훈련, 또는 학습 이력이 있는가?
- 이전 연도에 이익을 냈으며, 미래 이익을 합리적으로 기대할 수 있는가?
스프레드시트로 제출 내역을 추적하고, 고가치 목표물을 전문화하며, 도구에 재투자하고, 지급액이 꾸준히 증가하는 헌터는 사업처럼 보입니다. 1년에 두 번 주말 프로그램을 재미로 만지는 사람은 취미처럼 보입니다. 대부분의 진지한 헌터는 분명히 사업에 해당하며, IRS의 자체 지침에 따르면 해마다 부수 소득을 창출하고 이윤 추구 행동을 하는 활동은 본업이 있어도 사업입니다.
또한 유리하게 작용하는 명확한 추정 규칙이 있습니다: 활동이 최근 5개 과세 연도 중 3년 동안 이익을 보인 경우 IRS는 이를 사업으로 추정합니다. 비용이 지급액에 비해 적은 대부분의 바운티 헌터는 꾸준히 소득을 올리기 시작하면 이 기준을 쉽게 넘습니다.
구분이 그 어느 때보다 중요한 이유
2018년 이전에는 취미인도 취미 소득까지의 취미 비용을 기타 항목별 공제로 공제할 수 있었습니다. Tax Cuts and Jobs Act는 2018년부터 2025년까지 모든 기타 항목별 공제를 중단했으며, One Big Beautiful Bill Act는 이 중단을 영구적으로 만들었습니다. 취미 비용은 이제 완전히 공제할 수 없습니다.
따라서 헌팅이 취미라면 VPS 구독, Burp Suite 라이선스, VPN, 교육 과정, 컨퍼런스 여행비는 세법상 개인 지출입니다. 사업이라면 동일한 비용이 Schedule C에서 공제되는 통상적이고 필요한 사업 비용입니다. 연간 도구와 인프라에 수천 달러를 지출하는 헌터의 경우, 이 분류만으로 세금 계산서가 수백 달러 달라질 수 있습니다.
함정: 사업으로 처리하면 자영업 세금 발생
공짜 점심은 없습니다. Schedule C에 보고된 사업 소득에는 자영업 세금(순 소득의 92.35%에 대해 15.3% — 사회보장 임금 기반까지, 그 이상은 Medicare 2.9% 포함)이 적용되며, 연간 자영업 순 소득이 400달러에 도달하면 적용됩니다. 취미 소득은 자영업 세금이 전혀 부과되지 않습니다. 소득세만 냅니다.
어느 쪽이 더 나은지 가정하지 말고 상황에 맞게 계산해 보십시오. 지급액이 8,000달러이고 공제 가능한 비용이 1,500달러인 헌터가 사업으로 분류되면 6,500달러의 순이익에 대해 소득세와 자영업 세금을 냅니다. 같은 헌터가 취미인으로 분류되면 공제 없이 전체 8,000달러에 대해 소득세를 내고 자영업 세금은 없습니다. 어느 쪽이 유리한지는 한계 소득세율에 따라 다릅니다. 그러나 자유롭게 선택할 수는 없습니다. 사실이 분류를 결정하며, 여러분의 역할은 사실이 뒷받침하는 분류를 문서화하는 것입니다. 자영업 세금을 피하기 위해 사업 소득을 취미 소득으로 의도적으로 잘못 분류하는 것은 누군가 장부를 요구하는 순간 실패하는 입장입니다.
사업 헌터로서 추적할 가치가 있는 공제
헌팅이 사업으로 인정된다면, 바운티 소득을 얻는 데 진정으로 관련된 모든 것에 대한 영수증을 보관하십시오:
- 인프라: 스캐닝 및 테스트용 VPS 및 클라우드 인스턴스, 콜백 서버용 도메인, VPN 구독.
- 도구: 상용 보안 도구 및 라이선스, 단어 목록 및 데이터셋, 정찰 서비스용 API 크레딧.
- 학습: 헌팅 기술을 유지하거나 향상시키는 교육 과정, 자격증, 서적, 컨퍼런스 티켓.
- 홈 오피스: 집의 일부를 정기적이고 전용으로 헌팅 작업에 사용한다면, 300평방피트까지 평방피트당 5달러의 간이 공제는 대부분의 헌터가 놓치는 쉬운 돈입니다.
- 수수료: 총 지급액을 잠식하는 결제 플랫폼 수수료와 환전 스프레드 — 바운티 금액과 실제 입금액의 차이는 실제 비용입니다.
핵심 원칙은 분리입니다. 바운티 소득과 비용을 전용 계좌 또는 최소한 전용 추적 시스템으로 운용하고, 각 지급액을 날짜, 프로그램, 플랫폼, 보고서 ID, 총액 대 순액으로 기록하십시오. 이 기록은 PayPal 알림이 담긴 신발 상자를 사업적인 장부로 바꿔 주며, 이는 순환적으로 사업을 운영하고 있다는 증거 그 자체입니다.
분기별 예상 세금: 아무도 원천징수하지 않는 청구서
고용주가 바운티 지급액에서 원천징수하지 않기 때문에, 사업 헌터는 일반적으로 해당 연도에 1,000달러 이상의 세금을 납부할 것으로 예상되면 분기별 예상 세금(Form 1040-ES)을 납부해야 합니다. 마감일(대략 4월 중순, 6월 중순, 9월 중순, 1월 중순)은 세금이 4월 문제라고 생각한 첫 해 소득자들을 놀라게 합니다. 이를 놓치면 세금 자체 외에 미달 납부 벌금을 물을 수 있습니다.
두 가지 안전 항구(safe harbor)가 보호합니다: 올해 세금의 90% 이상을 내거나, 작년 총 세금의 100% 이상(조정 총소득이 150,000달러를 초과하면 110%)을 4개 분기에 걸쳐 납부하는 것입니다. W-2 직업도 있다면, 별도 분기 세금을 내는 대신 급여 원천징수를 늘려 바운티 소득을 충당하는 것이 가장 간단한 방법인 경우가 많습니다. 원천징수는 실제 징수 시점과 무관하게 연중 고르게 납부된 것으로 간주되므로 안전 항구 내에 머무는 가장 관대한 방법입니다.
헌터에게 실제 비용 손실을 주는 흔한 실수
1099 기준 미만의 지급액 무시. 바운티 세계에서 가장 흔한 실수입니다. 양식이 없다고 소득이 없는 것은 아닙니다. IRS는 가능한 한 매칭하고 필요한 만큼 감사합니다. 나중에 발견된 미신고 소득은 세금에 벌금과 이자를 더해 돌아옵니다.
취미인으로 비용 공제. 2018년 이후 취미 비용을 공제한 신고는 단순히 잘못된 것이며, 영구적 중단으로 인해 이는 다시는 허용되지 않습니다. 도구 지출이 상당하다면, 그것은 어쨌든 공제하기 위한 것이 아니라 증빙 장부를 갖춘 실제 사업으로 헌팅을 운영해야 하는 이유입니다.
예산에 자영업 세금을 잊는 것. 첫 해 사업 헌터는 소득세로 22%를 떼어 두고 사회보장 및 메디케어를 위한 추가 15%를 잊는 경우가 일반적입니다. 좋은 경험 법칙: 순 지급액의 2530%를 받는 즉시 별도 계좌에 따로 떼어 두고, 그 돈을 쓰기 전에 미리 분리해 두십시오.
개인 및 헌팅 재정 혼합. 스캐닝 인프라 비용을 식료품과 같은 카드로 지불하면 깨끗한 장부를 만들 수 없고 사업 분류 증거가 약해집니다. 전용 계좌 하나는 비용이 들지 않으며 세금 시즌에 그 자체로 이익입니다.
스웩과 비현금 보상을 공짜로 취급. 프로그램을 통해 수여된 컨퍼런스 패스, 하드웨어, 기프트 카드는 현금과 동일하게 공정 시장 가치로 소득입니다. 받을 때 기록하십시오.
첫날부터 감사 준비가 된 바운티 장부 유지
지급 내역은 여러 플랫폼, PayPal 알림, 은행 예금에 분산되어 있습니다. 이것이 바로 헌터들이 소득을 과소 신고하고 잊어버린 비용에 대해 세금을 과다 납부하는 이유입니다. 명확한 재무 기록을 유지하는 것은 재미있는 부수 활동을 세금 시즌에 방어 가능한 사업으로 바꿔 줍니다. Beancount.io는 재무 데이터에 대한 완전한 투명성과 통제권을 제공하는 일반 텍스트 회계를 제공합니다. 블랙박스도, 벤더 종속도 없습니다. 무료로 시작하세요 개발자와 재무 전문가들이 일반 텍스트 회계로 전환하는 이유를 확인해 보십시오.
