Да. На хабре больше одной статьи было на эту тему. Воруют куки, мыльники, телефоны, переписывают куки и т.д. В принципе, чего ещё ожидать, когда вы вставляете на свой домен js код от третьих лиц? Всё равно что впустить в квартиру таджиков помыть окна, зная только номер телефона их главного, и уехать в отпуск.
