Ви знайшли вразливість о першій ночі, оформили звіт, і через три тижні на ваш рахунок надходить чотиризначна виплата за роботу, яку ви виконали у піжамі. Це відчувається як несподівані гроші — поки ви не усвідомлюєте, що IRS вважає це доходом, як і будь-який інший, а платформа, яка вам заплатила, можливо, вже повідомила їм про це.
Полювання на баг-баунті перетворилося на серйозні гроші. HackerOne виплатив дослідникам $81 мільйон за один дванадцятимісячний період, що на 13% більше порівняно з попереднім роком, при цьому середня активна програма виплачує приблизно $42,000 на рік. Більшість індивідуальних виплат є скромними — медіанна розкрита винагорода становить близько $500 — але провідні дослідники тепер заробляють шести- та семизначні суми щорічно. Незалежно від того, чи отримали ви одну виплату в $300, чи стабільний потік критичних вразливостей, ось як правильно вирішити податкові питання: що звітують платформи, які форми очікувати, коли ви зобов'язані сплачувати податок на самозайнятість, і як розмежування "хобі проти бізнесу" визначає, чи можна відраховувати витрати на інструменти.
Кожен долар доходу від баунті оподатковується
Почнімо з правила, яке найбільше дивує дослідників-початківців: виплати за баунті є звичайним доходом з першого долара. Не існує винятку de minimis для "невеликих" виплат, немає виключення "це було просто хобі, тому не враховується", і немає спеціального режиму, подібного до приросту капіталу, лише тому, що робота відчувалася як гра. Якщо виплата надійшла на ваш банківський рахунок, PayPal або криптогаманець, вона підлягає декларуванню.
Це плутає людей, тому що дохід від баунті надходить без звичних атрибутів заробітної плати — без утримань, без W-2, без роботодавця, який нагадує, що податки існують. Платформи виплачують вам валову суму і залишають усі податкові розрахунки повністю вам. Ставтеся до кожного повідомлення про виплату як до платіжної відомості, за яку ви повинні розрахуватися самостійно, і ви ніколи не будете заскочені зненацька у квітні.
Що насправді звітують HackerOne та Bugcrowd
Податкові форми, які ви подаєте перед отриманням виплат
Обидві великі платформи збирають податкову документацію від вас як частину налаштування платежів, перш ніж гроші можуть надходити. Дослідники зі США подають форму W-9 (ім'я, адреса, ідентифікаційний номер платника податків); дослідники за межами США подають відповідну форму W-8 для підтвердження свого іноземного статусу. Документація Bugcrowd щодо виплат дослідникам описує окремі шляхи подання W-9 та W-8 для осіб США, фізичних осіб не з США та юридичних осіб не з США. Якщо ви пропустите цей крок, ваші виплати залишаться в підвішеному стані — платформи не випустять кошти без наявної податкової форми.
Серйозно ставтеся до W-9, навіть якщо ви випадковий мисливець: відсутній або неправильний ідентифікаційний номер платника податків може спричинити резервне утримання у розмірі 24% з ваших виплат, що означає, що платформа утримує майже чверть кожного баунті та надсилає її до IRS. Зрештою ви звірите це у своїй декларації, але це безвідсоткова позика Казначейству, яку вам ніколи не потрібно було давати.
Поріг форми 1099 змінився у 2026 році
Протягом багатьох років правило було простим: заробіть $600 або більше через платформу протягом календарного року, і ви отримаєте інформаційну форму (історично платформи використовували форму 1099-MISC для виплат дослідникам). Для 2026 року поріг звітності зріс. Згідно з One Big Beautiful Bill Act, поріг для видачі форм 1099-NEC та більшості платежів 1099-MISC підвищився з $600 до $2,000 для платежів, здійснених після 31 грудня 2025 року, з щорічним коригуванням на інфляцію, починаючи з 2027 року.
На практиці: якщо ваші загальні виплати за 2026 рік з однієї платформи залишаються нижче $2,000, ви, ймовірно, не отримаєте від них форму 1099. Це не робить дохід звільненим від податків. Поріг звітності регулює зобов'язання платформи щодо паперової роботи, а не ваше зобов'язання звітувати. $1,400, які ви заробили за три звіти середньої серйозності, все одно є оподатковуваним доходом, навіть якщо ніякої форми не надійшло поштою, і IRS отримує достатньо даних від третіх сторін у наш час, щоб "ніхто про це не повідомив" не було планом. Звітуйте про все; ведіть власний облік, а не чекайте на форми, щоб дізнатися, скільки ви заробили.
Дослідники не зі США
Якщо ви полюєте за межами Сполучених Штатів, форми серії W-8 підтверджують ваш іноземний статус, щоб платформа могла застосувати правильний режим утримання. Податкові угоди та правила джерела доходу — платежі за послуги, які ви надаєте зі своєї країни, зазвичай вважаються доходом із закордонного джерела — визначають, чи застосовується взагалі будь-яке утримання в США. Ваша країна проживання майже напевно оподаткує цей дохід незалежно від цього, тому відстежуйте виплати у еквіваленті вашої місцевої валюти на момент отримання. Цей посібник зосереджений на податковому режимі США; якщо ви за кордоном, підтвердьте деталі з місцевим радником.
Хобі чи бізнес? Питання, яке визначає ваші відрахування
Найбільш значуще податкове питання для мисливця за баунті — чи класифікує IRS ваше полювання як бізнес або хобі. Дохід оподатковується в обох випадках — але лише бізнес може відраховувати свої витрати.
Як IRS проводить межу
IRS розглядає, чи займаєтеся ви діяльністю зі справжнім наміром отримати прибуток, зважуючи такі фактори:
- Чи ведете ви діяльність у діловий спосіб — ведете книги, відстежуєте час і витрати, підтримуєте окремі рахунки?
- Чи вкладаєте ви реальний час і зусилля з метою отримання доходу?
- Чи залежите ви від цього доходу для забезпечення життя, чи він є другорядним?
- Чи змінювали ви свої методи для підвищення прибутковості — спеціалізуючись на більш високооплачуваних класах вразливостей, націлюючись на програми з кращими таблицями винагород?
- Чи маєте ви експертизу, навчання або історію навчання людини, яка працює заради прибутку?
- Чи отримували ви прибуток у попередні роки, і чи можете ви обґрунтовано очікувати майбутнього прибутку?
Мисливець, який відстежує подання в електронній таблиці, спеціалізується на високоцінних цілях, реінвестує в інструменти та отримує стабільно зростаючі виплати, виглядає як бізнес. Той, хто раз на тиждень бавиться з програмою двічі на рік заради розваги, виглядає як хобі. Більшість серйозних мисливців чітко потрапляють на сторону бізнесу — і власні вказівки IRS зазначають, що діяльність, яка приносить додатковий дохід рік за роком з поведінкою, спрямованою на отримання прибутку, є бізнесом, навіть якщо у вас також є основна робота.
Існує також чітка презумпція на вашу користь: якщо ваша діяльність показує прибуток у трьох із останніх п'яти податкових років, IRS вважає її бізнесом. Більшість мисливців за баунті, чиї витрати є скромними порівняно з виплатами, легко проходять цей бар'єр, як тільки починають стабільно заробляти.
Чому це розмежування важливе як ніколи
До 2018 року любителі могли принаймні відраховувати витрати на хобі в межах доходу від хобі як інші деталізовані відрахування. Закон про скорочення податків і робочі місця призупинив усі інші деталізовані відрахування на 2018–2025 роки — а One Big Beautiful Bill Act зробив це призупинення постійним. Витрати на хобі тепер не підлягають відрахуванню, крапка.
Отже, якщо ваше полювання є хобі, ваші підписки на VPS, ліцензія Burp Suite, VPN, навчальні курси та поїздки на конференції є особистими витратами з точки зору податкового кодексу. Якщо це бізнес, ці самі витрати є звичайними та необхідними бізнес-витратами, які можна відрахувати у Додатку C. Для мисливця, який витрачає кілька тисяч доларів на рік на інструменти та інфраструктуру, лише класифікація може змінити податковий рахунок на сотні доларів.
Підступ: режим бізнесу означає податок на самозайнятість
Безкоштовних обідів не буває. Дохід від бізнесу, зазначений у Додатку C, підлягає податку на самозайнятість — 15,3% на 92,35% чистого заробітку (до бази оподаткування Social Security, плюс частина Medicare 2,9% понад неї) — як тільки ваш чистий заробіток від самозайнятості досягає $400 за рік. Дохід від хобі повністю звільняється від податку на самозайнятість; ви платите лише прибутковий податок.
Зробіть розрахунки для своєї ситуації, а не припускайте, що один результат кращий. Мисливець із $8,000 виплат і $1,500 відрахованих витрат як бізнес платить прибутковий податок плюс податок на самозайнятість із $6,500 чистого прибутку. Той самий мисливець як любитель платить прибутковий податок із повних $8,000 без жодних відрахувань і без податку на самозайнятість. Що виграє, залежить від вашої граничної ставки прибуткового податку — але зауважте, що ви не можете вільно обирати. Факти визначають класифікацію; ваше завдання — задокументувати ту, яку підтверджують факти. Навмисне неправильне класифікування бізнес-доходу як доходу від хобі, щоб уникнути податку на самозайнятість, є тією позицією, яка руйнується в момент, коли хтось попросить ваші книги.
Відрахування, які варто відстежувати як бізнес-мисливцю
Якщо ваше полювання кваліфікується як бізнес, зберігайте квитанції на все, що дійсно пов'язане з отриманням доходу від баунті:
- Інфраструктура: VPS та хмарні екземпляри для сканування та тестування, домени для серверів зворотного виклику, підписки на VPN.
- Інструменти: комерційні інструменти безпеки та ліцензії, списки слів і набори даних, API-кредити для сервісів розвідки.
- Навчання: навчальні курси, сертифікації, книги та квитки на конференції, які підтримують або покращують ваші навички полювання.
- Домашній офіс: якщо ви регулярно та виключно використовуєте частину дому для роботи над баунті, спрощене відрахування $5 за квадратний фут (до 300 квадратних футів) — це легкі гроші, які більшість мисливців залишають на столі.
- Комісії: комісії платіжних платформ і спреди за конвертацію валют, які зменшують валові виплати — різниця між сумою баунті та тим, що фактично надходить, є реальною витратою.
Ключова дисципліна — розділення. Проводьте дохід і витрати від баунті через виділений рахунок або принаймні через виділену систему відстеження, і фіксуйте кожну виплату з датою, програмою, платформою, ID звіту та сумою брутто-нетто. Цей журнал перетворює коробку з PayPal-повідомленнями на ділові книги — що, за іронією, саме по собі є доказом того, що ви ведете бізнес.
Квартальні авансові платежі: рахунок, який ніхто не утримує
Оскільки жоден роботодавець не утримує податки з виплат за баунті, бізнес-мисливці зазвичай зобов'язані сплачувати квартальні авансові платежі (форма 1040-ES), як тільки вони очікують заборгувати $1,000 або більше за рік. Терміни — приблизно середина квітня, середина червня, середина вересня та середина січня — дивують тих, хто заробляє вперше і припускав, що податки — це квітнева проблема. Пропустіть їх, і ви можете заборгувати штраф за недоплату на додаток до самого податку.
Дві "безпечні гавані" захищають вас: сплатіть принаймні 90% поточного річного податку або принаймні 100% минулорічного загального податку (110%, якщо ваш скоригований валовий дохід перевищує $150,000), розподілені по чотирьох кварталах. Якщо у вас також є робота з W-2, найпростіший крок часто полягає в збільшенні утримань із зарплати достатньо, щоб покрити дохід від баунті, замість подання окремих квартальних платежів — утримання вважається сплаченим рівномірно протягом року незалежно від того, коли воно фактично було утримане, що робить його найбільш поблажливим способом залишатися в межах "безпечної гавані".
Поширені помилки, які коштують мисливцям реальних грошей
Ігнорування виплат нижче порогу 1099. Найпоширеніша помилка у світі баунті. Відсутність форми не означає відсутність доходу. IRS звіряє те, що може, і перевіряє те, що повинне; незвітований дохід, виявлений пізніше, приносить податок плюс штрафи плюс відсотки.
Відрахування витрат як любитель. Податкові декларації після 2018 року з відрахуванням витрат на хобі є просто неправильними, і постійне призупинення означає, що це ніколи не повернеться. Якщо ваші витрати на інструменти значні, це аргумент для ведення полювання як реального бізнесу — з книгами, які це підтверджують — а не для відрахування все одно.
Забування податку на самозайнятість у бюджеті. Мисливці-початківці регулярно відкладають 22% на прибутковий податок і забувають про додаткові ~15% на Social Security та Medicare. Хороше емпіричне правило: відкладайте 25–30% від кожного чистого виплати в день його надходження на окремий рахунок, перш ніж витратити будь-що.
Змішування особистих фінансів і фінансів для полювання. Оплата інфраструктури для сканування тією ж карткою, що й продукти, унеможливлює чисті книги та послаблює докази класифікації як бізнесу. Один виділений рахунок нічого не коштує та окупається під час подання податкової декларації.
Ставлення до мерчу та негрошових винагород як до безкоштовних. Квитки на конференції, обладнання та подарункові картки, отримані через програми, є доходом за справедливою ринковою вартістю, так само як готівка. Фіксуйте їх при отриманні.
Тримайте свої книги по баунті готовими до перевірки з першого дня
Ваша історія виплат розкидана по платформах, PayPal-повідомленнях і банківських депозитах — саме тому мисливці занижують дохід і переплачують податки на витрати, про які забули. Підтримка чітких фінансових записів — це те, що перетворює веселу побічну діяльність на захищений бізнес під час подання податків. Beancount.io надає прості текстові бухгалтерські інструменти, які дають вам повну прозорість і контроль над вашими фінансовими даними — без чорних скриньок, без прив'язки до постачальника. Почніть безкоштовно і побачте, чому розробники та фінансові професіонали переходять на просту текстову бухгалтерію.
