Einfach den ganzen Kram kopieren und verkaufen. Am Ende vom Tag hast du dann Geld in irgendeiner Form und keine Anzeige vom Unternehmen mit der Sicherheitslücke. Wenn das Unternehmen sich nicht ans Gentlemen’s agreement von responsible disclosure halten will, dann sollte der Hacker das auch nicht.
Wäre ja akzeptabel, wenn am Schluss nur die Unternehmen mit den Sicherheitslücken darunter leiden, aber die deren Daten dabei geleakt werden leiden halt auch darunter also keine wirklich gute Option.