É interessante você levantar estes dois cenários:

1. O armazenamento em cookie, vulnerável a [CSRF][1], e também possui uma [lista gigante][2] de opções para se prevenir (porém, utilizar cookies é desencorajado pela especificação)
2. O armazenamento via local storage / secure storage, que é vulnerável a [XSS][3], e que também possui uma [lista gigante][2] de opções para se prevenir

Existem dois detalhes importantes na sua implementação:

 - Sua escolha por deixar `httpOnly` desabilitada automaticamente lhe deixa vulnerável a ataques XSS
 - Talvez a essência do `Bearer Token` não esteja sendo levada em consideração totalmente

Pense que o `Bearer Token` (ou token do portador) é a **autorização do usuário**, com este token sua aplicação entende que o **usuário portador é de fato quem se diz ser**.

## Mas por que o token é confiável? ##

Para você entregar o token para alguém, ele provou ser quem ele diz para o servidor de autorização através de suas credenciais (`clientId` e `secret`).

No caso de um [JWT][4], você o assinou com uma informação sua, para conseguir comprovar que foi você mesmo que gerou aquele token, e quando o usuário mandar para você sua aplicação conseguir verificar se o token não foi alterado.

## É um problema deixar o token em local aberto suscetível a ataques? ##

Sim! De fato, é um grande problema, caso algum atacante consiga o token do seu cliente, ele conseguirá se passar por ele sem nenhum problema.

Inclusive a opção de deixar o token em um cookie é **fortemente desencorajada** se não tomadas as medidas preventivas adequadas pela [RFC6750 - Bearer Token Usage][5]:

    Cookies are typically transmitted in the clear.  Thus, any
    information contained in them is at risk of disclosure.  Therefore,
    bearer tokens MUST NOT be stored in cookies that can be sent in the
    clear.  See "HTTP State Management Mechanism" [RFC6265] for security
    considerations about cookies.   

    ...

    Don't store bearer tokens in cookies:  Implementations MUST NOT store
      bearer tokens within cookies that can be sent in the clear (which
      is the default transmission mode for cookies).  Implementations
      that do store bearer tokens in cookies MUST take precautions
      against cross-site request forgery.


## Mas e agora o que eu faço eu acho que tudo é inseguro irei me desligar da internet ##

Para nossa alegria, o pessoal que criou o framework OAuth2 nos deu muito material relacionado a segurança. 

Você pode ler as considerações de segurança na [RFC6749 - OAuth2 Framework][6], e este assunto é tão extenso que foi criada também a [RFC6819 - OAuth2 Threat Model][7] que menciona várias formas de ataque contra o modelo, inclusive roubo de tokens (*impersonation attacks*).

Algumas das recomendações do framework relacionadas ao token mencionadas na [RFC6750][8] são:

1. Armazenar os tokens em lugar seguro
2. Validar a cadeia de certificados TLS dos envolvidos
3. Sempre utilizar TLS / HTTPS
4. **Não armazenar Bearer Tokens em cookies sem os devidos cuidados**
5. Prover data de validade para os tokens
6. Prover escopo de atuação para os tokens
7. Não passar tokens na URL das aplicações

## Em resumo ##

Implementar um framework de autorização como o OAuth2 é um pouco mais complexo que apenas gerar e receber tokens como você pode ver.

Como demonstrei nas especificações, tanto o cookie quanto o local storage possuem considerações de segurança, e você deve pesar qual o custo de prevenção de cada solução. Existem formas de se prevenir contra possíveis ataques para os dois casos (um bom artigo comparando as duas formas é [este aqui][9]).

Recomendo você ler as RFCs que mencionei na resposta, elas possuem um ótimo material, bem como exemplos de ataques e prevenções.

  [1]: https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF)
  [2]: https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/Cross-Site_Request_Forgery_Prevention_Cheat_Sheet.md
  [3]: https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)
  [4]: https://tools.ietf.org/html/rfc7519
  [5]: https://tools.ietf.org/html/rfc6750#page-10
  [6]: https://tools.ietf.org/html/rfc6749
  [7]: https://tools.ietf.org/html/rfc6819
  [8]: https://tools.ietf.org/html/rfc6750#page-13
  [9]: https://stormpath.com/blog/where-to-store-your-jwts-cookies-vs-html5-web-storage