Menurut saya harusnya tidak menjadi masalah melakukan transaksi via QR Code sekalipun mengaktifkan aplikasi VPN.
Namun pastikan aplikasi VPN nya memang terpercaya dan bukan berupa malware yang "menyamar". Beberapa aplikasi VPN dan QR Code yang menyembunyikan malware (Clast82 -mampu menghindari sistem keamanan google play protect) antara lain bisa dilihat di: https://research.checkpoint.com/2021/clast82-a-new-dropper-on-google-play-dropping-the-alienbot-banker-and-mrat/

btw, QR code ini memang memudahkan seperti contoh dalam transaksi Bitcoin LN, itu kalau invoice atau LNURL (yang terdiri banyak karakter huruf/angka) ditulis manual kemungkinan resiko salah ketik malah lebih besar dan akan memakan waktu lebih lama. Nah double check setelah scan via QR Code ini yang kemungkinan ada saja yang mengabaikannya.