Ein Angreifer kann dann Pakete an deinen Computer senden, mehr nicht. Was dieser damit macht, hängt von der Software ab, die auf Port 25565 hört. Das ist natürlich ein potentielles Sicherheitsrisiko. Wenn der Minecraft-Server eine (womöglich bisher unbekannte) Sicherheitslücke hat, dann ist dein Rechner potenziell kompromittierbar. Und wenn dein Rechner kompromittiert sind, dann könnten auch die anderen Geräte in deinem Heimnetzwerk kompromittiert werden - je nachdem, wie diese wiederum abgesichert sind. Ein direkter Zugriff auf diese Geräte ist nicht möglich, wenn du nur den Port auf deinen Computer freigibst.
Wenn gerade kein Minecraft-Server läuft, dann könnte eine auf anderem Wege eingefangene Schadsoftware auf diesem Port hören und dadurch übers Internet erreichbar sein.
All das sind theoretische Gefahren, über die du dir aber im Klaren sein solltest. Ich würde meinen Desktop-Rechner nicht dafür hernehmen wollen, aber er wird wohl auch nicht sofort infiziert, wenn du Port 25565 freigibst.
Ein VPN ist allgemein eine gute Idee, weil du dann deinen Computer eben nicht für jeden erreichbar ins Internet stellst. Dann musst du nur deinen Freunden vertrauen und nicht dem gesamten Internet. Allerdings ist auch der VPN-Tunnel ein mögliches Einfallstor, wenn bspw. die anderen Rechner im VPN kompromittiert sein sollten.
Den Standort der IP-Adresse kann man so oder so anhand von Datenbanken mehr oder weniger genau nachvollziehen, da hat der offene Port nichts mit zutun.
