Зачем нужны два токена — access token и refresh token, если cookie автоматически отправляются браузером с запросами? Почему нельзя использовать один refresh token?

Cookie отвечает за хранение и отправку, а разделение access/refresh — за срок жизни и назначение полномочий. Это разные уровни механизма.

Access предъявляют ресурсному API и делают сравнительно короткоживущим; refresh используют на специальной ручке для получения нового access с проверкой сессии и, при выбранной схеме, ротацией. Если принимать refresh повсюду, он фактически станет долгоживущим access и разделение потеряет смысл. В некоторых системах вместо пары уместна одна серверная сессия — два токена не обязательны всегда.