Какой смысл в refresh токене?

Никак до конца не пойму, зачем все же нужны refresh токены.

Допустим, злоумышленник украл у нас acess token, который живет очень мало, скажем 15 минут. Ок, ему удастся недолго им попользоваться, а мы имея refresh token получим новый access token. С этим все понятно и логично.

Но что будет, если злоумышленник также украдет refresh token? И здесь я ничего не понимаю. Во-первых, почему если он украл access token, то у него нет возможности украсть и refresh token? Или большинство злоумышленников слишком глупые, увидев access token сразу пускают слюни и забывают, что им на самом деле нужен рефреш?

Если же злоумышленник украдет refresh token, он сможет им также пользоваться до его истечения, постоянно получая новую пару. Все говорят, что при логине пользователя, refresh token злоумышленника станет невалидным. Получается нам надо хранить его где то в хранилище и при каждом новом логине удалять? Ок, тогда как при логине не разлогиниваться на других устройствах, если нам надо удалить все рефреш токены?

Вообщем помогите разобраться с этой абракадаброй ;)