Найдена опасная уязвимость в очень популярном мобильном приложении. Что делать?
и учечка данных пользователей может обойтись сервису 100.......000$-ми убытками
Может. Но (тебе) лучше, чтобы об этом сообщил кто-нибудь другой. Потому что скорее всего, тебя же и обвинят во взломе и хищении. 
Обращаться стоит только в том случае, если у сервиса есть программа по исправлению ошибок ("bugs bounty"), если же нет, а аппликуха популярная - лучше перестать пользоваться, застраховаться и не лезть, ну или сообщить с левого одноразового мейла.
А что до вознаграждения - вот что пишет классик, Иван наш Андреевич Крылов
Самое правильно и грамотное решение - это спросить у владельца сервиса, есть ли у них вознаграждение за найденные уязвимости, если да, то вам повезло. 
Если нет, то расписать в теории и заснять видео всех действий, которые позволяют произвести проникновение или что там. И замазать на видео участки, где кроется "секрет". И отправить это владельцу сервиса с предложением вознаграждения. Если повезёт - то хорошо.
Если и в этом случае вам отказали в вознаграждении - то просто расскажите владельцу сервиса об уязвимости.
Кармически вознаграждение вам придёт :)