Es müssen gar nicht unbedingt die Spenden sein.
Es wachen nun vielleicht auch mal die auf, die glaub(t)en, OSS sei sicher, weil viele auf den Code schauen.
Denn wie wir alle "bewundern" durften, zumindest bei OpenSSL fand das längst nicht in ausreichendem Maße statt.

Eine Ursache war wohl, dass man sich darauf verließ, bei so wichtiger Software hätten das schon genug Leute gemacht.
Eine andere Ursache mag im unübersichtlichen Code, der schlechten Dokumentation und dem nicht gerade trivialen Thema begründet sein.

Da müßten nicht einmal alle Provider ein paar Hunderter für eine Spende erübrigen, sondern in Tests stecken.

Aber mit dem Satz, dass das nicht nur für OSS gilt, hast du absolut recht.