Muitos investigadores de segurança não analisam bases de código que são bem auditadas (Lido, Euler, etc.). Talvez você não encontre um bug lá, mas há muito a aprender com elas que será útil na sua jornada. Dedique tempo a estudar essas bases de código.