Наказание за поиск уязвимостей?
Не будет.
Разве что они связали второй аккаунт с первым, но вряд ли, особенно если это какая-нибудь онлайн игра, где по традиции разрабам пофиг на читеров.
Больше похоже на желание отблагодарить. Ну и простимулировать искать уязвимости дальше.
Вы должны были нанести приличный ущерб, чтобы у них появилось желание вас наказать.
Нужно всегда помнить поговорку: "Ни одно доброе дело не останется безнаказанным."
По сабжу - лучше не связываться, ибо есть большой риск, что на Вас попытаются повесить всех собак (сбои в работе сайта, взломы другими хацкерами, да и просто некомпетентность обслуживающих лиц). Конечно в конечном счёте Вы наверняка будете оправданы нашим гуманным судом. Но быть под следствием, пережить изъятие оргтехники как вещдоков и друге прелести - это Вам надо?
На будущее - при обнаружении бага и желании заработать, предлагайте заключение письменного договора на "проверку безопасности". Только в этом случае Вы обезопасите себя от дураков. Но это не точно.