Логика классическая: компании из малого и среднего сегмента бесплатно (!) подают заявки на участие, а вы ломаете их сайты. Если показать весь процесс эксплуатации уязвимости — получите до миллиона рублей.
Если же уязвимостей нет, то владелец компании получит +100 очков к ЧСВ и бесконечный респект от коллег.
Лютейший win-win, я считаю.