Раньше webRequest давал полный доступ к трафику без тормозов, сейчас хоть блокирующий режим и убрали, но в целом можно спокойно стрельнуть куки и токены. MV3 — это больше шоу, чтобы юзеры успокоились, а настоящих защит мало. Главное — внимательно смотреть, кому и какие права давать, иначе крадут всё подряд.