Explicação sobre riscos de cobrança expirada

Entendo, então não tem risco do cliente pagar após a expiração, mesmo com o estado ativo, certo?

Tem risco não, @josejooj.
Caso você queira, depois da cobrança ter expirado, você pode consumir o endpoint para alterar o status dela para REMOVIDA_PELO_USUARIO_RECEBEDOR. Assim a cobrança é finalizada.

aliás, essa alteração dispara o webhook?

A mudança para o status REMOVIDA_PELO_USUARIO_RECEBEDOR não aciona o webhook, já que é a própria aplicação que está realizando essa ação, então já terá conhecimento de que foi feito.