I tuoi sospetti sono legittimi, infatti è uno scam ben impacchettato. Quelli "free" sono exploit presi da rapid7 e da blog di ricercatori (e sono n-day, è un pezzo che sono conosciuti). Quelli a pagamento, che poi sono i più interessanti, semplicemente non esistono. Inutile che cerchi più a fondo: nessuno vende 0day online a sconosciuti, nemmeno per svariati btc.