Подгрузка картинки с внешнего сайта. Безопасно ли?

Пока, лишь предупреждение.

Google опять отложила блокировку сторонних cookie в Chrome / Хабр (habr.com)

Поэтому ещё всё это работает, но именно вашему сайту это не навредит. А после установки, сможете отследить что там ещё подгружается и подгружается ли. Браузеры в консоле пишут об этом.

он живее всех живых. в браузерных расширениях это главный способ монетизации "бесплатных" плагинов.

Ну раз это не какой-то банкиг, то я практически уверен, что плохих последствий не будет. В конце-концов, внедряют же в почтовых рассылках трэк-пиксели, вставляют изображения на форумы и ничего - все живы-здоровы. При самом плохом и практически неосуществимом сценарии, возможны действия с привелегиями юзера, посещающего страницу. Типа коммент там отправить, ну или какие там у него будут права. Но это прям околонулевые шансы и на сайте должны иметься другие уязвимости, чтоб так заэксплойтить.

Для полноты угроз, тут ещё не упомянали возможность отправки gzip-бомб. Но они в общем-то безобидные да и нафиг не нужны. Если баннер заказывает не конкурент, решивший сделать мелкую пакость (попытаться ухудшить ПФ).

Значит, код безопасен.