Что касается ловли событий - только что проверил на маке в дебаговом плеере - MOUSE_WHEEL вполне себе ловится. Возможно, проблема в том, что браузер не отдает фокус плагину. Зачастую если кликнуть на флешку, то фокус передается и события должны ловиться. Если это не так, то таки да, нужно ловить события DOM.
Что касается безопасности: если Ваша флешка лежит в
local trusted sandbox, то проблем с безопасностью быть не должно.