E tem valores que chegam até 7~10 milhões de dólares. Mas o que você disse, foi:
E o fato de que cada zero-day real em sistema operacional ou browser vale literalmente milhões de dólares no mercado cinza.
Cada zero-day? Não. O que vale na casa dos milhões de dólares são exploits full-chain. Reportando zero-day ou até mesmo vendendo exploit para um zero-day, você nunca vai chegar nem perto de conseguir "milhões de dólares".
Um exploit full-chain é diferente: Não é um zero-day, são vários. Explorados em cadeia de forma automatizada pelo exploit.
Um full-chain precisa explorar desde uma vulnerabilidade na superfície de ataque até a escalação de privilégios. Tudo automático.
Só para dar um exemplo real, a Advance Security Solutions paga 80k dólares para um Linux LPE e 10 milhões de dólares para um full-chain Linux.
Eu sei do que estou falando.
Sabe mesmo ou só viu algo superficial sem entender direito o que viu e imaginou todo o resto?