Вы нашли уязвимость в час ночи, оформили отчет, и через три недели на ваш счет поступила четырехзначная выплата за работу, выполненную в пижаме. Это ощущается как найденные деньги — пока вы не осознаете, что IRS считает это доходом, как и любой другой, и платформа, которая вам заплатила, возможно, уже сообщила им об этом.
Охота за баг-баунти превратилась в серьезный источник дохода. HackerOne выплатила исследователям $81 миллион за один двенадцатимесячный период, что на 13% больше по сравнению с прошлым годом, при этом средняя активная программа выплачивает примерно $42,000 в год. Большинство отдельных выплат скромные — медианная раскрытая награда составляет около $500 — но ведущие исследователи теперь зарабатывают шести- и семизначные суммы ежегодно. Независимо от того, получили ли вы одну выплату в $300 или стабильный поток критических уязвимостей, вот как правильно урегулировать налоговую сторону: что сообщают платформы, какие формы ожидать, когда вы обязаны платить налог на самозанятость и как различие «хобби против бизнеса» определяет, можно ли вычитать расходы на ваши инструменты.
Каждый доллар дохода от баунти облагается налогом
Начнем с правила, которое больше всего удивляет новичков: выплаты за баунти являются обычным доходом с первого доллара. Не существует исключения de minimis для «мелких» выплат, нет исключения «это было просто хобби, поэтому не считается», и нет особого режима, как для прироста капитала, потому что работа ощущалась как игра. Если выплата поступила на ваш банковский счет, PayPal или криптокошелек, она должна быть отражена в вашей декларации.
Это сбивает с толку, потому что доход от баунти приходит без привычных атрибутов зарплаты — без удержаний, без W-2, без работодателя, напоминающего о существовании налогов. Платформы платят вам валовую сумму и оставляют всю налоговую математику на вас. Относитесь к каждому уведомлению о выплате как к расчетному листку, по которому вы должны самостоятельно рассчитаться, и вы никогда не окажетесь застигнуты врасплох в апреле.
Что на самом деле сообщают HackerOne и Bugcrowd
Налоговые формы, которые вы подаете до получения выплат
Обе крупные платформы собирают налоговые документы в рамках настройки выплат, до того как деньги могут быть переведены. Исследователи из США подают форму W-9 (имя, адрес, идентификационный номер налогоплательщика); исследователи за пределами США подают соответствующую форму W-8 для подтверждения своего иностранного статуса. Документация Bugcrowd по выплатам исследователям описывает отдельные пути подачи W-9 и W-8 для лиц из США, нерезидентов США и иностранных организаций. Если вы пропустите этот шаг, ваши выплаты зависнут — платформы не переведут средства без налоговой формы в файле.
Относитесь к W-9 серьезно, даже если вы случайный охотник: отсутствующий или неверный идентификационный номер налогоплательщика может вызвать резервное удержание 24% с ваших выплат, что означает, что платформа удержит почти четверть каждого баунти и отправит ее в IRS. Вы в конечном итоге урегулируете это в своей декларации, но это беспроцентный кредит казначейству, который вам никогда не нужно было давать.
Порог 1099 изменился в 2026 году
Долгие годы правило было простым: заработайте $600 или более через платформу в календарном году, и вы получите информационную форму (платформы исторически использовали форму 1099-MISC для выплат исследователям). В 2026 году порог отчетности вырос. Согласно Закону One Big Beautiful Bill Act, порог для выдачи форм 1099-NEC и большинства платежей 1099-MISC повысился с $600 до $2,000 для платежей, произведенных после 31 декабря 2025 года, с ежегодной корректировкой на инфляцию начиная с 2027 года.
На практике: если ваши общие выплаты за 2026 год от одной платформы остаются ниже $2,000, вы, вероятно, не получите от них 1099. Это не делает доход не облагаемым налогом. Порог отчетности регулирует обязательство платформы по оформлению документов, а не ваше обязательство по отчетности. $1,400, заработанные за три отчета средней серьезности, по-прежнему являются налогооблагаемым доходом, даже если никакая форма не пришла по почте, и IRS получает достаточно данных от третьих сторон в наши дни, чтобы «никто не сообщил» не было планом. Сообщайте обо всем; ведите собственный учет, а не ждите форм, чтобы узнать, сколько вы заработали.
Исследователи не из США
Если вы охотитесь из-за пределов Соединенных Штатов, формы серии W-8 подтверждают ваш иностранный статус, чтобы платформа могла применить правильный режим удержания. Налоговые соглашения и правила источника дохода — платежи за услуги, которые вы выполняете из своей страны, обычно считаются доходом из иностранного источника — определяют, применяется ли какое-либо удержание в США. Ваша родная страна почти наверняка обложит этот доход налогом независимо от этого, поэтому отслеживайте выплаты в эквиваленте местной валюты на момент получения. Это руководство сосредоточено на налоговом режиме США; если вы за границей, уточните детали у местного консультанта.
Хобби или бизнес? Вопрос, который определяет ваши вычеты
Самый важный налоговый вопрос для охотника за баунти — классифицирует ли IRS вашу охоту как бизнес или хобби. Доход облагается налогом в любом случае — но только бизнес может вычитать свои расходы.
Как IRS проводит границу
IRS смотрит, занимаетесь ли вы деятельностью с искренним намерением получить прибыль, взвешивая такие факторы, как:
- Ведете ли вы деятельность деловым образом — ведете книги, отслеживаете время и расходы, поддерживаете отдельные счета?
- Вкладываете ли вы реальное время и усилия с целью получения дохода?
- Зависите ли вы от этого дохода для средств к существованию, или он является случайным?
- Меняли ли вы свои методы для повышения прибыльности — специализировались на более высокооплачиваемых классах уязвимостей, нацеливались на программы с лучшими таблицами вознаграждений?
- Есть ли у вас опыт, подготовка или история обучения, характерные для человека, стремящегося к прибыли?
- Получали ли вы прибыль в предыдущие годы и можете ли вы разумно ожидать будущей прибыли?
Охотник, который отслеживает заявки в электронной таблице, специализируется на высокоценных целях, реинвестирует в инструменты и получает стабильно растущие выплаты, выглядит как бизнес. Тот, кто ради удовольствия раз в два года возится с программой на выходных, выглядит как хобби. Большинство серьезных охотников явно находятся на стороне бизнеса — и собственное руководство IRS отмечает, что деятельность, приносящая дополнительный доход год за годом с поведением, направленным на получение прибыли, является бизнесом, даже если у вас также есть основная работа.
Существует также четкая презумпция в вашу пользу: если ваша деятельность показывает прибыль в трех из последних пяти налоговых лет, IRS предполагает, что это бизнес. Большинство охотников за баунти, чьи расходы скромны по сравнению с выплатами, легко преодолевают этот барьер, как только начинают стабильно зарабатывать.
Почему это различие важнее, чем когда-либо
До 2018 года любители могли хотя бы вычитать расходы на хобби в размере дохода от хобби в качестве прочих детализированных вычетов. Закон о сокращении налогов и рабочих местах приостановил все прочие детализированные вычеты на 2018–2025 годы — и Закон One Big Beautiful Bill Act сделал эту приостановку постоянной. Расходы на хобби теперь не подлежат вычету, и точка.
Итак, если ваша охота — хобби, ваши подписки на VPS, лицензия Burp Suite, VPN, обучающие курсы и поездки на конференции считаются личными расходами с точки зрения налогового кодекса. Если это бизнес, те же затраты являются обычными и необходимыми деловыми расходами, вычитаемыми в Приложении C. Для охотника, тратящего несколько тысяч долларов в год на инструменты и инфраструктуру, одна только классификация может изменить налоговый счет на сотни долларов.
Обратная сторона: статус бизнеса означает налог на самозанятость
Бесплатного обеда не бывает. Доход от бизнеса, указанный в Приложении C, облагается налогом на самозанятость — 15,3% на 92,35% чистого заработка (до базы социального страхования плюс 2,9% часть Medicare сверх нее) — как только ваш чистый доход от самозанятости достигает $400 за год. Доход от хобби полностью освобожден от налога на самозанятость; вы платите только подоходный налог.
Посчитайте для своей ситуации, а не предполагайте, что один исход лучше. Охотник с $8,000 выплат и $1,500 вычитаемых расходов как бизнес платит подоходный налог плюс налог на самозанятость с $6,500 чистой прибыли. Тот же охотник как любитель платит подоходный налог со всех $8,000 без вычетов и без налога на самозанятость. Что выгоднее, зависит от вашей предельной ставки подоходного налога — но учтите, что вы не можете свободно выбирать. Факты определяют классификацию; ваша задача — задокументировать ту, которую поддерживают факты. Сознательная классификация бизнес-дохода как дохода от хобби для уклонения от налога на самозанятость — это позиция, которая рушится в тот момент, когда кто-то попросит ваши книги.
Вычеты, которые стоит отслеживать как бизнес-охотник
Если ваша охота квалифицируется как бизнес, храните квитанции на все, что действительно связано с получением дохода от баунти:
- Инфраструктура: VPS и облачные инстансы для сканирования и тестирования, домены для callback-серверов, подписки на VPN.
- Инструменты: коммерческие инструменты безопасности и лицензии, словари и наборы данных, API-кредиты для сервисов разведки.
- Обучение: обучающие курсы, сертификации, книги и билеты на конференции, которые поддерживают или улучшают ваши навыки охоты.
- Домашний офис: если вы используете часть дома регулярно и исключительно для работы по охоте, упрощенный вычет $5 за квадратный фут (до 300 квадратных футов) — это легкие деньги, которые большинство охотников оставляют на столе.
- Комиссии: комиссии платежных платформ и спреды конвертации валют, которые съедают валовые выплаты — разница между суммой баунти и тем, что фактически поступает, является реальной стоимостью.
Ключевая дисциплина — разделение. Проводите доход и расходы от баунти через выделенный счет или, по крайней мере, через выделенную систему учета, и записывайте каждую выплату с датой, программой, платформой, ID отчета и суммой брутто против нетто. Этот журнал превращает коробку уведомлений PayPal в деловые книги — что, по кругу, само по себе является доказательством того, что вы ведете бизнес.
Ежеквартальные авансовые платежи: счет, который никто не удерживает
Поскольку ни один работодатель не удерживает налоги с выплат за баунти, бизнес-охотники обычно должны платить ежеквартальные авансовые платежи (форма 1040-ES), как только ожидают задолжать $1,000 или более за год. Сроки — примерно середина апреля, середина июня, середина сентября и середина января — удивляют новичков, которые предполагали, что налоги — это апрельская проблема. Пропустите их, и вы можете задолжать штраф за недоплату в дополнение к самому налогу.
Две «безопасные гавани» защищают вас: заплатите не менее 90% налога за текущий год или не менее 100% общего налога за прошлый год (110%, если ваш скорректированный валовой доход превышает $150,000), распределенных по четырем кварталам. Если у вас также есть работа с W-2, самый простой шаг часто — увеличить удержание из зарплаты достаточно, чтобы покрыть доход от баунти, вместо подачи отдельных квартальных платежей — удержание считается уплаченным равномерно в течение года независимо от того, когда оно фактически удержано, что делает его самым щадящим способом оставаться в пределах безопасной гавани.
Распространенные ошибки, которые стоят охотникам реальных денег
Игнорирование выплат ниже порога 1099. Самая распространенная ошибка в мире баунти. Отсутствие формы не означает отсутствие дохода. IRS сопоставляет, что может, и проверяет, что должно; несообщенный доход, обнаруженный позже, приносит налог плюс штрафы плюс проценты.
Вычет расходов как любитель. Декларации после 2018 года с заявленными расходами на хобби просто неверны, и постоянная приостановка означает, что это никогда не вернется. Если ваши расходы на инструменты значительны, это аргумент для ведения охоты как настоящего бизнеса — с книгами в доказательство — а не для вычета в любом случае.
Забывание налога на самозанятость в бюджете. Бизнес-охотники в первый год регулярно откладывают 22% на подоходный налог и забывают о дополнительных ~15% на социальное страхование и Medicare. Хорошее практическое правило: откладывайте 25–30% от каждой чистой выплаты в день ее поступления на отдельный счет, прежде чем потратить что-либо.
Смешивание личных финансов и финансов охоты. Оплата инфраструктуры сканирования той же картой, что и продукты, делает чистые книги невозможными и ослабляет ваши доказательства классификации бизнеса. Один выделенный счет ничего не стоит и окупается во время налоговой.
Отношение к мерчу и неденежным наградам как к бесплатным. Пропуски на конференции, оборудование и подарочные карты, полученные через программы, являются доходом по справедливой рыночной стоимости, так же как наличные. Фиксируйте их при получении.
Держите свои книги по баунти готовыми к аудиту с первого дня
Ваша история выплат разбросана по платформам, уведомлениям PayPal и банковским депозитам — именно поэтому охотники занижают доход и переплачивают налоги на забытые расходы. Ведение четких финансовых записей — это то, что превращает веселую побочную деятельность в защитимый бизнес во время налоговой. Beancount.io предоставляет бухгалтерию в виде открытого текста, которая дает вам полную прозрачность и контроль над вашими финансовыми данными — без черных ящиков, без привязки к вендору. Начните бесплатно и узнайте, почему разработчики и финансовые специалисты переходят на бухгалтерию в виде открытого текста.
