> Нам об этом рассказывать не надо, это американскому суду будете позитивные показания
> давать.

Дела обстоят несколько иначе.

Раньше американские вендоры покупали позитивный CVE-вазелин и конвертировали его в патчи для конечных пользователей (Windows Update и т.п.), а теперь они этого делать не могут из-за санкций.
Т.е. формально им нельзя иметь договора чтобы получать инфу о 0-days до разглашения.

Де-факто, "амеры" просто выстрелили себе в ногу, но рикошетом попало по всем пользователям всяческих "видовсов" и "цисок".

Далее, теоретически конечно невозможно затащить кого-то в суд за то, что он не сделал, то что ему запретили.
Практически же, примерно никто не сомневается, что по-любому виноваты будут "русские хакеры", за то что они есть, хайли лайкли, и ибо так очень удобно всех остальных держать за дураков :)