Muitos pesquisadores de segurança não analisam bases de código bem auditadas (Lido, Euler, etc.). Talvez você não encontre um bug lá, mas há muito o que aprender com eles que vai te ajudar na sua jornada. Dedique tempo estudando esses códigos de código.