La Public Key viene pubblicata solo quando prelevi bitcoins da quell'indirizzo.
Se il change address lo usi solo per ricevere i resti la sua Public Key rimane segreta.
Il giorno in cui dovrai svuotare il change address allora la sua Public Key verrà esposta.

Non mi farei troppi problemi ad esporre la Public Key di un indirizzo, occorrono mediamente 2^127.8 tentativi per scoprire la Private Key associata usando il più evoluto metodo di attacco ad oggi conosciuto (il buon vecchio metodo Pollard's Rho noto dagli anni '70).
E' un numero ENORME che richiederebbe miliardi di anni di calcolo parallelo massivo con la tecnologia attuale.

Il giorno in cui sarà possibile bucare la curva secp256k1 con un brute-force parallelo condotto a livello planetario, il sistema Bitcoin avrà aggiornato da molto tempo il proprio arsenale difensivo (composto oggi dalla tripletta secp256k1, sha256 e ripemd-160).