Cazar en solitario tiene un techo. Eres bueno en web, pero el objetivo es una app móvil. Encontraste la vulnerabilidad, pero encadenarla hasta un impacto real necesita a alguien que viva en la consola de la nube. La recompensa está ahí — y no llegas solo.
Así que haces lo que hace todo el mundo: publicas en un Discord, mandas un DM en Twitter, preguntas en un grupo de Telegram. Y ahí empieza el problema de verdad. ¿Quién es esta persona? ¿Encontró de verdad lo que dice su perfil? Si le pasas tu exploit a medio terminar, ¿seguirá aquí mañana, o lo reportará en solitario y se quedará con todo el pago?
Esta es la parte que nadie resolvió. Plataformas como HackerOne y Bugcrowd te dejan repartir una recompensa — pero solo con alguien en quien ya confías. Nunca te ayudan a encontrar a esa persona.
Habilidades complementarias, no duplicadas
El instinto es hacer equipo con alguien que trabaja como tú. Resístelo. Dos hunters de web encuentran los mismos bugs dos veces. Un hunter de web y uno de móvil encuentran bugs que ninguno alcanzaría solo.
Antes de buscar a nadie, escribe dos listas:
- Lo que dominas. Las especialidades donde eres realmente fuerte — web, API, móvil, cloud, reversing.
- Lo que te frena una y otra vez. Los objetivos que evitas, los reportes que no logras subir a críticos, las plataformas que nunca tocas.
La segunda lista es la primera de tu compañero. Busca el hueco, no el espejo.
Verifica a la persona antes que al bug
Que un desconocido diga "senior, 200 reportes válidos" no significa nada por sí solo. La reputación solo cuenta cuando está atada a algo que puedes comprobar:
- Un historial público enlazado — un perfil real de HackerOne o Bugcrowd que puedas abrir en un clic, junto a la afirmación.
- Pruebas de cómo colabora, no solo de cómo hackea. ¿Cobraron sus compañeros lo acordado? ¿Desapareció a mitad del trabajo?
- Un rastro que no tuviste que creer a ciegas. La mejor señal es la que solo existe porque hubo gente real trabajando junta que lo dijo después.
Las habilidades te dicen si alguien puede ayudar. La reputación te dice si te vas a arrepentir.
Acordad el reparto antes de trabajar, por escrito
La mayoría de disputas no son sobre hacking. Son sobre un reparto que nunca se acordó de verdad, solo se dio por hecho. Ciérralo antes de la primera nota compartida:
- Decidid los porcentajes por adelantado. 50/50 vale. 70/30 también, cuando uno aporta el hallazgo inicial. Lo que no vale es "ya lo vemos luego".
- Escribid quién hace qué. Encontrar, escalar, redactar el reporte, gestionar el ida y vuelta del triage — cada cosa tiene un coste real.
- Nombrad el desempate. Si el programa paga menos de lo esperado, o pide más trabajo, decidid ahora cómo lo gestionáis.
Nada de esto necesita un abogado. Necesita un mensaje que ambos acepten antes de que cambie de manos algo de valor.
Dónde encaja Bounterland
Bounterland existe justo para el hueco de arriba: descubrimiento más confianza. Filtra hunters por especialidad, plataforma, idioma y disponibilidad para encontrar la habilidad complementaria que te falta — y júzgalos por una reputación ganada en colaboraciones reales y completadas, no autodeclarada. Tú encuentras a la persona; el rastro te dice si fiarte.
La recompensa nunca fue la parte difícil. Encontrar a la persona adecuada con quien repartirla, sí. Esa es la parte que estamos construyendo.