Como eu disse, um código aberto no github pode ser acessado por qualquer pessoa, e assim, qualquer um pode fazer alterações no seu código e solicitar um 'pull request' (que basicamente significa que o usuário está mexendo no seu código e você avalia se aceita ou não as alterações no projeto principal).
Não diria que "depende da sorte" para alguém resolver engajar no seu projeto, mas as pessoas precisam saber que ele existe. Se o seu perfil no github tem alguma influência ("fama", digamos assim), é mais provável que mais programadores vejam e, assim, mais provável que alguém se interesse em contribuir.
Mas isso também vem do fato do produto final ser grátis, algo que contribui com a comunidade sem fins lucrativos. Se você ver os maiores repositórios do github, vai ver que todos ajudam a comunidade de alguma forma (muitos são a fins educacionais), mas não tem ninguém ganhando dinheiro com isso.
Se o seu projeto tiver fim lucrativo, é pouquíssimo provável que alguém queira ajudar de graça, e é inclusive arriscado mantê-lo aberto, é como dar a chave do cofre pro ladrão.
O Tabnews por exemplo, é código aberto no github, muita gente aqui ajuda de N formas na melhoria do código, mas como vemos, não tem ninguém ganhando dinheiro aqui, e não há nenhum tipo de dado mais "sensível" que valeria ser "roubado" por alguém.