תוכניות באונטי (Bounty) – להרוויח ממציאת חולשות בקוד של פרויקטי קריפטו

מטבע הדברים, המוצרים והשירותים של חברות ופרויקטי קריפטו מבוססים על פיתוח של תוכנות רלוונטיות ועל אינספור שורות קוד. מובן כי גם אנשי הפיתוח המקצועיים ביותר וגם תהליכי הבקרה הקפדניים ביותר אינם יכולים להבטיח באופן מוחלט כי קוד מסוים יהיה נטול שגיאות, חולשות ופרצות.

על רקע זה חברות ופרויקטים בעולם המטבעות הדיגיטליים נעזרים במשתמשים בעלי ידע בכתיבת קוד ובפיתוח תוכנה לצורך איתור פרצות וחולשות במוצרים ובשירותים שלהם. מדובר על משתמשים שאינם חלק מהחברה או מהפרויקט, כלומר אינם מועסקים בהם. עבור חלק מאותם משתמשים זהו העיסוק העיקרי שלהם, ועבור אחרים זהו עיסוק נוסף. 

בתמורה לאיתור חולשה כזו או אחרת בקוד, מקבל המשתמש שאיתר אותה פרס כספי שנקרא באונטי (Bounty) ואשר בדרך כלל יינתן לו במטבע הקריפטוגרפי הרלוונטי לפרויקט המדובר. הבאונטי עבור זיהוי חולשות ופרצות בקוד של חברות ופרויקטי קריפטו יכול לנוע בין אלפי לעשרות אלפי דולרים ובמקרים מסוימים להגיע גם למאות אלפי דולרים ואף ליותר מכך.

חשוב להבין ולזכור כי קבלת מטבעות קריפטו כתשלום עבור מציאת חולשה או פרצה בקוד נחשבת לאירוע מס. לא מדובר על קבלת מתנה, כפי שמשתמשים רבים היו רוצים לחשוב, כלומר על מצב שבו רק במועד מימוש המטבעות שהתקבלו כבאונטי יהיה על המשתמש לשלם מס. באונטי שניתן בתמורה לאיתור חולשה בקוד הוא הכנסה עסקית לכל דבר, שמקורה בתקבול ב"שווה כסף", והכנסה זו חייבת בדיווח למס הכנסה, לביטוח לאומי ולמע"מ.

במאמר זה נסביר מהן תוכניות באונטי ונתאר את שאלות מיסוי הקריפטו הרלוונטיות להן כמו גם את סוגית ההפקדה בבנק של כספים שמקורם בקבלת באונטי.

מהו באונטי?

באונטי (Bounty) הוא פרס כספי, ובהקשר שאנו עוסקים בו מדובר על פרס כספי שניתן בתמורה למציאת באגים, חולשות ופרצות בתוכנה הקשורה למוצר או לשירות בעולם המטבעות הקריפטוגרפים.

תוכנית באונטי (Bounty Program) היא הצעה שבמסגרתה חברה מציעה תמריץ כספי לאנשים שעוסקים בכתיבת קוד ובפיתוח תוכנה בתמורה לאיתור חולשות ופרצות בקוד שאותה חברה פיתחה. תוכניות באונטי פונות אל משתמשים רלוונטיים, כגון אנשי פיתוח והאקרים, שמטרותיהם לגיטימיות וחיוביות, כלומר כאלה שמבקשים לאתר חולשות בקוד במטרה לקבל על כך תמורה כספית ולשפר את אבטחת המוצר או השירות. זאת בניגוד לשחקנים זדוניים שמטרתם היא למצוא פרצות כדי לנצל אותן לרעה, לרוב לצורך גניבת כספים מפרויקט קריפטו כזה או אחר.

הסיבה לכך שחברות ופרויקטים משתמשים בתוכניות באונטי היא היעילות שלהן. באמצעות תוכנית באונטי החברה מרחיבה משמעותית את יכולתה לזהות חולשות בקוד שהיא פיתחה. במילים אחרות, יותר אנשים עוסקים במשימת החיפוש אחר בעיות כאלה ואחרות בקוד. מכאן שהסיכוי למציאת פרצה או חולשה הופך גבוה יותר (בזכות תוכנית הבאונטי יש יותר אנשים שעוסקים בכך), ומהיר יותר (שוב, משום שיש יותר אנשים שעוסקים בכך בו-זמנית).

השימוש בתוכניות באונטי מאפשר לחברות להראות למשתמשים שלהן שהן לוקחות את תחום אבטחת המידע ברצינות ושהן מוכנות להשקיע משאבים ניכרים כדי להבטיח שהמוצרים והשירותים שלהן עומדים בסטנדרט גבוה של אבטחה.

נציין כי היוזמה לעסוק בתחום יכולה להגיע הן מחברת או פרויקט הקריפטו, אשר מפרסמים את תוכנית הבאונטי ומזמינים משתמשים להצטרף אליה, והן ממשתמשים והאקרים אשר יכולים לחפש חולשות ופרצות בקוד ביוזמתם ובמידה שהם מוצאים חולשה כלשהי הם יכולים לפנות לחברה הרלוונטית ולהציע לגלות לה את החולשה בתמורה לקבלת באונטי.

ניתן למצוא רשימות מפורטות של תוכניות באונטי באמצעות חיפוש פשוט בגוגל.

תשלומי באונטי והשאלה של מיסוי קריפטו

כאמור בפתח הדברים, מטבעות קריפטו שהתקבלו כבאונטי נחשבים להכנסה עסקית לכל דבר והכנסה זו חייבת בדיווח לכל רשויות המס בישראל. ניתן לקרוא עוד בנושא פעילות קריפטו אשר עונה על ההגדרה של קיום עסק במאמר שלנו: האם פעילות הקריפטו שלכם נחשבת לפעילות עסקית?

להלן הגופים שלהם יש לדווח על הכנסה מבאונטי:

1. מס הכנסה – ההכנסה מבאונטי ממוסה במס פירותי ולא במס הוני, כלומר על פי מדרגות המס הרלוונטיות לאדם ספציפי. לדוגמה, אדם שמשתכר 270 אלף ₪ בשנה וקיבל באונטי בשווי 20 אלף דולר, ישלם 35% מהכנסתו למס הכנסה, על פי מדרגות מס הכנסה ובהתחשב בשאר ההכנסות שלו (משכר למשל) באותה שנת מס שבה קיבל את הבאונטי.

2. מע"מ – אם הפרוייקט ששילם  את הבאונטי מאוגד בישראל, הרי שהתקבול יהיה חייב במע"מ בגובה 17%. אם הוא אינו מאוגד בישראל אזי מקבל הבאונטי  לא ישלם מע"מ, אך עדיין יהיה חייב לדווח למע"מ על העסקה כעסקה פטורה ממע"מ! אי דיווח במקרה כזה עלול להוביל להשלכות פליליות ו/או אזרחיות (קנסות  ועיצומים כספיים).

3. ביטוח לאומי – במידה והאדם שקיבל באונטי עונה להגדרה של ביטוח לאומי לבעל עסק עצמאי, הוא ישלם לרוב 18% מהכנסתו, עד התקרה החייבת בחוק. 

נוסיף, כי מאחר ומדובר בהכנסה עסקית, החוק מתיר לקזז ממנה הוצאות מותרות בניכוי כדי להקטין את חבות המס. הוצאה מותרת בניכוי היא כל הוצאה אשר סייעה לאדם לייצר את ההכנסה המדוברת. במקרה של עיסוק בתוכניות באונטי הכוונה היא בעיקר להוצאות הבאות:

1. עלות רכישת מחשב וטלפון נייד ביצוע העבודה. 

2. עלות רכישת תוכנות ושימוש בשרתים לצורך ביצוע העבודה.

3. עלות השתתפות בקורסים מקצועיים רלוונטיים. 

4. תשלום לפרילנסרים, למשל למתכנתים זרים שסייעו למקבל הבאונטי בביצוע חלק מהמשימות הקשורות לתוכנית הבאונטי.

5. תשלום לגורם כמו BLOXTAX עבור ליווי מקצועי של רואה חשבון בתחום הקריפטו, אשר כולל את חישוב הרווח מהפעילות וביצוע הדיווח למס הכנסה.

להפקיד את כספי הבאונטי בבנק

כידוע, הפקדה בבנק ישראלי של כספים שמקורם בפעילות במטבעות דיגיטליים (כמו למשל קבלת באונטי בקריפטו והמרת הקריפטו לשקלים כדי להפקידם בבנק) נתקלת במקרים רבים בקשיים שהבנקים מערימים בנושא מחשש שפעילות הקריפטו של הלקוח תחשוף אותם לכספים שהושגו באופן לא חוקי.

התיקון לנוהל בנקאי תקין חייב את הבנקים בישראל לנהל מדיניות עניינית ומאפשרת בנושא ולא להסתפק רק במניעה מוחלטת של הפקדת כספים שמקורם בפעילות במטבעות דיגיטליים, אלא לבחון כל בקשת הפקדה לגופה. ניתן לקרוא על כך עוד במאמר שלנו: מפקידים כסף מקריפטו לבנק – הוראת נוהל בנקאי תקין 411.

כדי לאפשר הפקדה של כספים אלו בבנק, לקוחות נדרשים בין השאר להציג בפני הבנק הצהרה מגורם מומחה בתחום, אשר מפרטת את נתיב המטבעות הדיגיטליים שהיו מעורבים בעסקה, כלומר את התחנות שבהן עברו המטבעות לפני שהומרו לשקלים שאותם מבקש הלקוח להפקיד בחשבון הבנק שלו. במסגרת ההצהרה מתחייב הגורם המומחה על כך שהוא בדק את נתיב הכסף והוא מאשר כי נתיב זה תואם את מדיניות הבנק בנושא כפי שפורסמה. ניתן לקרוא על כך עוד במאמר שלנו: הצהרת גורם מומחה – התנאי להפקדת כסף שמקורו בפעילות קריפטו, בחשבון הבנק.

כאשר מדובר על קבלת באונטי, שאלת נתיב הכסף מקבלת משמעות רבה אף יותר וזאת משום שמטבעות הקריפטו בתשלומי באונטי משולמים מפרויקטי קריפטו שונים ועובדה זו הופכת את עבודת ההתחקות אחר נתיב הכסף למורכבת יותר ולכן גם עלולה להקטין את הסיכוי לכך שבנק ישראלי יסכים להפקדת השקלים שהתקבלו מהמרת מטבעות הקריפטו שניתנו כבאונטי.

בשאלה מורכבת זו של הפקדת כספי קריפטו בבנק, אנו ממליצים להתייעץ עם צוות רואי החשבון של BLOXTAX. נזכיר כי בלוקסטקס הוכרה כגורם מומחה בתחום על ידי הבנקים הגדולים בישראל, וככזו היא מוסמכת לחתום על הצהרת גורם מומחה לעניין הפקדת כספים בבנק שמקורם בפעילות קריפטו. במקרה הצורך הצוות שלנו ידע להמליץ גם על האפשרות של עבודה עם גופים פיננסיים אחרים בישראל או עם בנקים זרים אשר יהיו מוכנים לקבל את הכספים בכפוף לבדיקה פחות מחמירה של המטבעות הדיגיטליים.

לסיכום

עולם הקריפטו התוסס והדינמי ממשיך לצמוח ולהתפתח בכל עת ולכן נדרש לפיתוח של עוד ועוד מוצרים ושירותים מבוססי קוד. לאור זאת ניתן להניח בבטחה כי תחום תוכניות הבאונטי, שמטרתו לאתר חולשות ופרצות בקוד של חברות ופרויקטי קריפטו, יצמח ויתפתח אף הוא וככזה יציע אינספור הזדמנויות למשתמשים המצויים בתחום פיתוח התוכנה וכתיבת הקוד.

כפי שציינו בפתח הדברים, איתור חולשות ופרצות בקוד של פרויקטי קריפטו עשוי להניב תמורה משמעותית ביותר, שלעתים מגיעה לעשרות אלפי דולרים. עובדה זו הופכת את תחום תוכניות הבאונטי לאטרקטיבי ולכן מדגישה ביתר שאת את הצורך לעסוק בתחום תוך קיום החובות, הכללים והדרישות הרלוונטיים אשר מאפשרים לפעול באופן חוקי, יעיל ונוח. אנו שבים וממליצים להתייעץ עם צוות המומחים של BLOXTAX לפני ההחלטה לעסוק בתוכניות באונטי.