¿El servidor proxy puede acceder a mis cookies y usarlas?

Sí.

Como lo mencionó u2702, el propietario del proxy puede leer claramente todo lo que se envía a través de HTTP a través del proxy.

En su caso particular, dado que la página de inicio de sesión (SOLAMENTE) estaba sobre HTTPS (y supongo que con eso, quiere decir que las otras páginas estaban sobre HTTP después del inicio de sesión), su contraseña no pudo ser comprometida. Sin embargo, cualquier solicitud posterior en su sitio a través de HTTP llevaría consigo su cookie de sesión. El propietario del proxy podría suplantarlo fácilmente gracias a esa cookie, siempre y cuando la sesión vinculada a esa cookie en particular sea válida.

Si desea evitar la futura reutilización de esa sesión, simplemente puede cerrar sesión en el sitio web (no importa), lo que invalidará la sesión si el sitio funciona correctamente. Por supuesto, podría ser "demasiado tarde", si ya se han realizado manipulaciones maliciosas a través de su cuenta comprometida.

Todo lo que pasaba por HTTP a través de un proxy estaba disponible para el controlador proxy.

HTTPS debería estar bien, dependiendo de las CA que confíe su navegador y suponiendo que no hizo clic en "sí" para confiar en un certificado no confiable.