guarda, al 90% so ragazzini con la passione per sta roba, poi come tutti gli appassionati se ci esce un lavoro o un gruzzolo non ci sputano sopra, ma l'intento per molti gruppi è davvero il safer place, magari beccando un ingaggio da qualche entità commerciale che vuole essere verificata e ritrova tra quelli un nome di un "professionista". Insomma segnalare e non monetizzare per loro ha la doppia funzione, ideologica e fa curriculum perchè l'azienda istintivamente si affida più volentieri all'hacker etico, anche se poi magari ha semplicemente un nick diverso per le attività non etiche.....
Infatti pure il developer ti ha detto di chiedere info ed è facile che ne avrai e lui sarà felicissimo del riconoscimento in change log, che fa cv, dal momento che se risolvono il bug della sua segnalazione non resterebbe più nulla.