Подмена href при обработке события onclick. Является ли это проблемой безопасности браузера?
На то оно и событие onclick, чтобы в момент нажатия обрабатывать это нажатие так, как необходимо. Это не уязвимость никакая, а обычный js-код. 
Можно понаделать тучу таких ссылок, только вот рано или поздно такой сайт останется совсем без посетителей, а пара-тройка жалоб пользователей о подозрительном веб-сайте (через браузер) сведут к абсолютному нулю его посещаемость.Так что: да - так можно, да - это не уязвимость и не баг, НО - лучше так не делать и не вводить пользователей в заблуждение.
Это как вы выразились "by design".