Один чел на спайсе подсказал не плохой способ.
Суть.
В куках хранится не пароль, а рандомное значение похожее на хеш. При каждой авторизации значение обновляется в базе и в куки перезаписывается. Юзеру достаточно заного авторизоваться и хакеру придется еще раз воровать куки