Ещё скажите, что проанализировать его код в поисках закладок. В 90% это нереально. Так что, обычному юзеру особо разницы нет: со своего хостинга или с хостинга создателя бота.
Бот может стучать специальному юзеру в телеграмм и ждать от него команд. Так что, еще раз повторю: Плюсов держать на своём хостинге нет. Риски одинаковые.
если бот не в privacy mode - то писать весь трафик может если в privacy mode - то только джойны, что уже достаточно для того чтобы посодить всех кто на экстремистский канал зашёл