Если я на Н1 нахожу уязвимость, то репорчу её прямо компании. Пусть и платят $100 за потенциальный увод нескольких тысяч, но всё же есть некоторое моральное удовлетворение + копеечка. Если я репорчу об уязвимости ОС кому-то непонятному, то что его останавливает с этой уязвимостью поступить не совсем честно? Не роще открыть национальную ББ площадку?