Может ли произвольный мошеннический сайт прочитать localStorage другого сайта? Как это работает?

Обычный сторонний сайт не может напрямую прочитать localStorage другого origin. Хранилище разделено по сочетанию схемы, хоста и порта.

Но скрипт, внедрённый через XSS или подключённый самой страницей, выполняется в её контексте и может получить доступ. Расширения с соответствующими правами и уязвимые механизмы передачи данных — отдельные риски. Поэтому изоляция origin не делает localStorage безопасным местом для любых секретов.