Ja, da eine VPN zwar deine IP gegenüber den Server verschlüsselt, aber dein Router kann dies immer noch mitlesen.
Naja warum solltest du nicht bestraft werden können? Du verstößt gegen das Urheberrecht! Sollte der Downloadserver durchsucht werden, weil der Entwickler Strafanzeige stellt und die finden deine IP dann bist du dran fürchte ich. Und könnte wenn es sich um einen Entwickler mit guter Rechtsabteilung handelt schnell mal 1000€ bis 10'000€ kosten. (Gerichtskosten und ggf. Kosten für den Forensiker) Am besten die Finger davon lassen.
Doch das kann strafrechtlich relevant sein. Dein Freund sollte hoffen das es kleine Server waren, da es immer ein Verstoß gegen die Nutzungsbedingungen ist. Auch könnte man gegen deinen Freund zivilrechtlich vorgehen und auf Schadensersatz klagen. Jetzt ist hoffen angesagt, weil sollte es zu einem Rechtsstreit kommen und die Gegenseite holt einen IT-Forensiker und dein Freund verliert den Prozess dann muss er die gesamten Kosten tragen. (Auch für den Forensiker) was schnell mal 10'000€ (ohne Schadensersatz) kosten kann.