Нарушаю ли я закон сканируя сайт который участвует в bug bounty?
Нарушаете во всех случаях, если это явно не разрешено вам владельцем сайта.
Т.е если у вас есть разрешение от владельца - никакого нарушения нет, у вас правомерный доступ.
Если разрешения нет - доступ неправомерный, статья 272 УК со всеми вытекающими.
Разрешение может быть опубликовано в любой форме. Хотя если возникнут вопросы, и придется доказывать свою правоту, желательно иметь разрешение в письменной форме.
Как правило, участники баг баунти четко прописывают в своих правилах, можно ли использовать автоматические инструменты для выявления уязвимостей.