Почему так легко украсть чужие куки firefox?
Эм? А чего ты ожидал?
И вообще, физический доступ к компу это ни разу не «легко» с точки зрения информационной безопасности.
UPD: Официальная позиция Chrome. Вполне применима к любым другим браузерам и вообще приложениям.
https://dev.chromium.org/Home/chromium-security/se...Why aren't physically-local attacks in Chrome's threat model?
[...]We consider these attacks outside Chrome's threat model, because there is no way for Chrome (or any application) to defend against a malicious user who has managed to log into your computer as you, or who can run software with the privileges of your operating system user account. 
Поэтому я запускаю браузер из под другого пользователя с определенными правами. Если вирус в самом браузере, то он не получит доступа к системе. А программы пользователя, соответственно, не могут получить доступ к рабочей папке браузера. Лишь админский доступ даёт возможность украсть, но это уж сам виноват, как говорится.