Как может произойти кража токена, чем это грозит и в каких случаях возникает такая уязвимость?

Токен может утечь через XSS, небезопасное хранение, URL, логи или скомпрометированную зависимость; bearer-токен даёт злоумышленнику соответствующий доступ.

Снижайте риск коротким сроком жизни, ограниченными правами, HTTPS, отзывом и безопасным хранением. HttpOnly cookie затрудняет чтение из JavaScript, но не устраняет XSS-действия и требует продуманной защиты от CSRF. Не отправляйте секреты в аналитику и не считайте маскирование в UI защитой.