你在凌晨一点发现了那个漏洞，写好了报告，三周后一笔四位数金额的赏金落进你的账户——这是你穿着睡衣完成的工作所得。它感觉像是天上掉下来的钱——直到你意识到美国国税局（IRS）视它与任何其他收入无异，而且支付给你的平台可能已经向他们通报了这笔收入。
漏洞赏金狩猎已经变成了一门大生意。HackerOne 在短短十二个月内向研究员支付了 8100 万美元，同比增长 13%，平均每个活跃项目每年支付约 42,000 美元。大多数个人的赏金金额并不高——公开披露的中位数赏金大约在 500 美元左右——但顶尖研究员现在年收入达到六位数甚至七位数。无论你只收到过一笔 300 美元的赏金，还是持续获得一系列严重漏洞的回报，以下是正确处理税务方面的要点：平台会报告什么、你会收到哪些表格、何时需要缴纳自雇税，以及爱好与商业的区别如何决定你的工具费用是否可以抵扣。
每一美元赏金收入都应纳税
首先，让大多数初次狩猎者最惊讶的规则是：赏金收入从第一美元起即为普通收入。没有针对"小额"收入的微量例外，没有"这只是个爱好所以不算"的排除条款，也没有因为工作感觉像游戏而享受特殊资本利得待遇。如果一笔赏金进入了你的银行账户、PayPal 或加密货币钱包，它就必须出现在你的税务申报中。
这让人困惑，因为赏金收入缺少了工资单那种熟悉的机制——没有预扣税、没有 W-2 表格、没有雇主提醒你税收的存在。平台会全额支付给你，而把税收计算完全留给你自己。把每一笔赏金通知都当作你需要自行结算的工资单，你就永远不会在四月被突如其来的税单打个措手不及。
HackerOne 和 Bugcrowd 实际报告的内容
在收到付款前你需要提交的税务表格
两大主要平台都会在支付设置阶段向你收集税务文件，之后资金才能流动。美国研究员需提交 W-9 表格（姓名、地址、纳税人识别号）；美国以外的研究员需提交相应的 W-8 表格以证明其外国身份。Bugcrowd 的研究员支付文档分别针对美国人、非美国个人和非美国实体列出了 W-9 和 W-8 的提交路径。如果你跳过这一步，你的赏金就会处于悬而未决状态——平台在没有存档税务表格的情况下不会放款。
即使是偶尔狩猎的人，也要认真对待 W-9 表格：缺失或错误的纳税人 ID 可能会触发对你赏金的 24% 后备预扣（backup withholding），这意味着平台会扣留你近四分之一的每一笔赏金并转交给 IRS。你最终会在税务申报中将其核对回来，但这相当于你从未需要向国库提供的一笔无息贷款。
2026 年 1099 门槛的变化
多年来，规则很简单：通过一个平台在日历年收入 600 美元或以上，你就会收到一份信息申报表（平台历来使用 1099-MISC 表格来报告研究员收入）。到 2026 年，报告门槛大幅提高。根据《一大美丽法案》（One Big Beautiful Bill Act），自 2025 年 12 月 31 日之后支付的款项，发行 1099-NEC 和大多数 1099-MISC 表格的门槛从 600 美元提高到 2,000 美元，并从 2027 年起每年按通胀调整。
实际上这意味着：如果你在 2026 年从单一平台获得的总收入低于 2,000 美元，你可能不会收到他们的 1099 表格。但这并不会让这笔收入免税。 报告门槛约束的是平台的文书义务，而不是你的申报义务。你通过三份中等严重性报告赚到的 1,400 美元仍然是应税收入，即使没有表格寄到家里，而 IRS 如今掌握足够的第三方数据，"没人报告"并不是一个计划。报告所有收入；自己记录账本，而不是等待表格来告诉你赚了多少。
非美国研究员
如果你在美国境外狩猎，W-8 系列表格用于证明你的外国身份，以便平台应用正确的预扣处理。税收协定和收入来源规则——你在自己国家提供的服务所获收入通常属于境外来源——决定是否有任何美国预扣税适用。你的母国几乎肯定会对该收入征税，因此在收到款项时按当地货币等值记录。本指南侧重于美国税务处理；如果你在国外，请与当地顾问确认细节。
爱好还是商业？决定你抵扣权的关键问题
对赏金猎人来说，最具决定性的税务问题之一是 IRS 会将你的狩猎活动归类为商业还是爱好。无论哪种方式，收入都是应税的——但只有商业活动才能抵扣其支出。
IRS 如何划分界限
IRS 会考量你是否以真正盈利的意图从事该活动，衡量因素包括：
- 你是否以商业化的方式开展活动——记账、追踪时间和支出、维护独立的账户？
- 你是否投入了真实的时间和精力以期赚取收入？
- 你是否依赖该收入维持生计，还是仅作为附带收入？
- 你是否调整过方法以提高盈利能力——专注于更高报酬的漏洞类别、瞄准奖金更丰厚的项目？
- 你是否具备朝着盈利方向努力的专业知识、培训或学习经历？
- 你过去几年是否盈利，以及能否合理预期未来盈利？
一个用电子表格追踪提交记录、专注于高价值目标、将收入再投资于工具、并且收入稳步增长的研究员，看起来像是商业活动。而一个为了好玩每年两次在周末项目上随便捣鼓的人，看起来像是爱好。大多数认真的猎人明显属于商业一侧——而 IRS 自己的指南指出，一项年复一年产生副业收入并伴随逐利行为的活动，即使你还有一份正职工作，也属于商业。
还有一条对你有利的明确推定：如果你的活动在过去五个纳税年度中有三年实现盈利，IRS 就推定它是商业活动。大多数赏金猎人，其成本相对于收入而言较低，一旦收入稳定，很容易达到这个标准。
为什么这一区别比以往更重要
在 2018 年之前，业余爱好者至少可以以杂项分项扣除的方式，将爱好支出抵扣到爱好收入的金额上限。而《减税与就业法案》（Tax Cuts and Jobs Act）在 2018 年至 2025 年期间暂停了所有杂项分项扣除——《一大美丽法案》则将这一暂停改为永久。爱好支出现在完全不可抵扣。
所以，如果你的狩猎是爱好，那么你的 VPS 订阅、Burp Suite 许可证、VPN、培训课程和会议差旅费，在税法眼中都是个人消费。如果它是商业活动，同样的成本则是普通且必要的商业支出，可以在附表 C 中抵扣。对于一个每年在工具和基础设施上花费几千美元的猎人来说，仅这一分类就可能让税单波动几百美元。
代价：商业身份意味着自雇税
天下没有免费的午餐。在附表 C 中报告的商业收入需缴纳自雇税——即净收入（达到社会保障工资基数上限后，再加上超出部分的 2.9% 医疗保险部分）的 92.35% 的 15.3%——一旦你当年的自雇净收入达到 400 美元。爱好收入则完全免缴自雇税；你只需缴纳所得税。
请根据你的实际情况计算，而不是假设某一结果更优。一个作为商业活动的猎人，收入 8,000 美元并有 1,500 美元的可抵扣支出，需要为 6,500 美元的净利润缴纳所得税和自雇税。同样作为爱好者的猎人，则需为全额 8,000 美元缴纳所得税，没有抵扣也没有自雇税。哪个更划算取决于你的边际所得税率——但请注意，你并不能随意选择。事实决定了分类；你的工作是记录事实所支持的分类。故意将商业收入误报为爱好收入以逃避自雇税，是那种只要有人要求查看账本就会立刻崩溃的立场。
作为商业猎人值得记录的抵扣项
如果你的狩猎符合商业资格，请保留与赚取赏金收入真正相关的所有支出的收据：
- 基础设施：用于扫描和测试的 VPS 和云实例、用于回调服务器的域名、VPN 订阅。
- 工具：商业安全工具和许可证、字典和数据集、侦察服务的 API 积分。
- 学习：维持或提升你狩猎技能的培训课程、认证、书籍和会议门票。
- 家庭办公室：如果你经常且专门使用家中部分空间进行狩猎工作，简化版的每平方英尺 5 美元抵扣（最高 300 平方英尺）是大多数猎人忽视的容易拿到的钱。
- 费用：平台支付费用和货币转换差价会侵蚀总收入——赏金金额与实际到账金额之间的差额是真实成本。
关键在于保持隔离。通过一个专用账户或至少一个专用的追踪系统来管理赏金收入和支出，并记录每笔收入及其日期、项目、平台、报告 ID 以及总额与净额。这份记录就是把一堆 PayPal 通知变成有条理的账本——而这本身，循环地，也是你在经营商业活动的证据。
季度预估税：没有人预扣的账单
由于没有雇主从赏金收入中预扣税款，商业猎人通常必须在预期当年应缴税款达到 1,000 美元或以上时，缴纳季度预估税（表格 1040-ES）。截止日期——大约在四月中旬、六月中旬、九月中旬和一月中旬——会让第一年赚钱的人感到意外，因为他们以为税是四月的问题。错过这些截止日期，除了税款本身，你还可能欠下少缴罚款。
两个安全港保护你：至少支付当年税款的 90%，或至少支付去年总税款的 100%（如果你的调整后总收入超过 150,000 美元则为 110%），并分摊到四个季度。如果你还有一份 W-2 工作，最简单的做法通常是提高工资预扣额以覆盖赏金收入，而不是单独申报季度税——预扣税无论实际扣除时间如何，都被视为全年均匀支付，这使得它成为留在安全港内最宽容的方式。
让猎人损失真金白银的常见错误
忽略 1099 门槛以下的收入。 赏金圈最常见的错误。没有表格不代表没有收入。IRS 会匹配它能匹配到的数据，并审计它必须审计的部分；未报告的收入一旦日后被发现，将会带来税款、罚款和利息。
作为爱好者抵扣支出。 2018 年后声称爱好支出的申报完全是错误的，而永久暂停意味着这永远不会恢复。如果你的工具支出很大，这正是将狩猎作为真实商业活动来运营的理由——并有账本证明——而不是无论如何都要抵扣。
在预算中忘记自雇税。 第一年的商业猎人通常会预留 22% 用于所得税，却忘了额外的约 15% 用于社会保障和医疗保险。一个好规则是：在每一笔净收入到账当天，将 25-30% 存入一个独立账户，再花任何钱。
混合个人和狩猎财务。 用同一张卡支付扫描基础设施和购买杂货，会让干净的账本变得不可能，并削弱你的商业分类证据。一个专用账户不花什么钱，在报税时却能回报你。
把赠品和非现金奖励当作免费的。 通过项目获得的会议通行证、硬件和礼品卡，其公平市场价值等同于现金收入。收到时就要记录。
从第一天起让你的赏金账本保持审计就绪
你的收入历史分散在各个平台、PayPal 通知和银行流水之中——这正是猎人漏报收入、多缴税款（因为忘了支出）的原因。保持清晰的财务记录，是将一项有趣的副业活动在报税时变成可靠商业活动的关键。Beancount.io 提供纯文本记账，让你对财务数据拥有完全透明度和控制权——没有黑箱，没有供应商锁定。免费开始，看看为什么开发者和财务专业人士正在转向纯文本记账。
