Buena pregunta, he estado investigando como poder hacer esto pero me temo que, tal y como está montando la inserción de video de youtube, no se puede hacer esto.
Por un lado he investigado la API de YouTube (tanto la Javascript como la inserción via iframe) y no he visto ningún parámetro específico para evitar el menú contextual. Si que puedes hacer cosas como quitar el link del título o los botones de información pero el usuario va a seguir pudiendo hacer click derecho.
Por otro lado, como bien has apuntado, he optado por intentar sobreescribir el evento oncontextmenu que es el que se lanza al hacer click derecho sobre un elemento de la página (o al pulsar el botón del teclado a tal efecto, que no todo es click derecho) pero claro, los videos insertados de youtube no están en tu página web si no que están en un iframe por lo que, si intentamos acceder a su objecto window para sobreescribir el método oncontextmenu provocamos error de Cross Domain:
DOMException: Blocked a frame with origin "http://xxx/" from accessing a cross-origin frame.
Dicho esto, y conociendo cual suele ser la política de Google acerca de como usar sus servicios, me temo que no hay manera de evitar que el usuario final sepa cual es la url del video (cosa que, por cierto, siempre iba a poder hacer viendo tan solo el código de la página).
Quizá tengas más suerte con otro servicio de streaming como vimeo.