Never roll back an ambiguous broadcast as if it had been refused (B-76, TX-04, TX-05, TX-20, TX-21, BET-16, BET-17, BET-23, WDR-11, WDR-12, WDR-16, API-13)

place_bet and request_withdrawal released everything on any exception from the
broadcast, including the 15s timeout and a connection dropped after the write. The
tx may have propagated: a bet's sats landed in the pool with no participant, a
withdrawal left while its row said failed and its coins were spendable again.

- client: ElectrumRpcError (subclass of ElectrumError) is raised only for a reply
  carrying a JSON-RPC `error`; timeouts, drops and write errors stay plain
  ElectrumError.
- tx/outcome.py:broadcast_with_verdict sorts a broadcast into accepted / refused /
  uncertain. A refusal is verified first: ElectrumListener.transaction_known asks
  blockchain.transaction.get of the active server and every other one (10s each) —
  any server returning the tx means accepted; the active server plus
  MIN_QUORUM_RESPONSES others all denying it means refused (ALLOW_NO_QUORUM keeps
  the reduced rule); too few answers is uncertain. "already known" wording is only a
  shortcut that skips the check. With no network to ask, a refusal is uncertain.
- place_bet / request_withdrawal / _trigger_payout use it: only a verified refusal
  releases; uncertain leaves the rows building for the reconciler, publishes SSE and
  POST /bets and POST /withdrawals answer 202 with status building; "already known"
  promotes a payout (payout_sent) like any accepted broadcast.
- An accepted transaction is fanned out to every other server
  (ElectrumListener.fan_out_transaction, best effort, off the caller's path). The RBF
  replacement in bump_fee is left for B-77, which rewrites that function.

Tests changed because the spec changed: the existing "refused broadcast" tests raised
a bare RuntimeError (now an uncertain outcome) and are made explicit refusals
(rpc_error) with a network that denies the tx; direct route calls pass a Response;
FakePayoutListener gains the network surface.

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

docs/modello-dati.md

@@ -392,10 +392,9 @@ del database sono tutti uguali, perché arrivano tutti dallo stesso percorso
   *Codice:* le funzioni in tabella ·
   *Test:* `tests/unit/test_deposits.py`, `tests/unit/test_bets.py`,
   `tests/unit/test_withdrawals.py`, `tests/unit/test_reconcile.py`
-  *Stato:* da implementare (B-76, B-78, B-83) · *Oggi:* il rilascio dopo il
-  broadcast avviene su qualunque eccezione (anche un timeout), l'abbandono
-  sul silenzio del solo server attivo, il reintegro sulla parola del solo
-  server attivo.
+  *Stato:* da implementare (B-78, B-83) · *Oggi:* l'abbandono avviene sul
+  silenzio del solo server attivo, il reintegro sulla parola del solo server
+  attivo.
 
 - **[DAT-13]** Il riconciliatore libera un input solo se il suo `spent_txid` è
   uno dei txid della riga che sta abbandonando (`current_txid` o una sua
@@ -975,11 +974,9 @@ Le funzioni citate sono `app/bets/service.py:place_bet`,
   *Test:* `tests/unit/test_confirmation.py`, `tests/unit/test_reconcile.py`,
   `tests/unit/test_scheduler.py`, `tests/unit/test_bets.py`,
   `tests/unit/test_withdrawals.py`
-  *Stato:* da implementare (B-76, B-78) · *Oggi:* qualunque eccezione del
-  broadcast di una scommessa o di un prelievo è trattata come un rifiuto;
-  l'abbandono avviene quando la cronologia del solo server attivo non
-  contiene `current_txid`; il poller guarda solo le righe `pending` e una
-  riga `failed` non viene più guardata.
+  *Stato:* da implementare (B-78) · *Oggi:* l'abbandono avviene quando la
+  cronologia del solo server attivo non contiene `current_txid`; il poller
+  guarda solo le righe `pending` e una riga `failed` non viene più guardata.
 
 - **[DAT-34]** Dopo la creazione, `current_txid`, `raw_tx_hex`,
   `fee_rate_sat_vb`, `replaced_by_txid`, `attempt_count` e `last_broadcast_at`
@@ -1157,8 +1154,8 @@ dall'utente.
   ([DAT-72]), il prelievo resta `failed` finché l'operatore non lo riallinea.
   *Codice:* le funzioni in tabella ·
   *Test:* `tests/unit/test_withdrawals.py`, `tests/unit/test_reconcile.py`
-  *Stato:* da implementare (B-76, B-78) · *Oggi:* qualunque eccezione del
-  broadcast porta a `failed`, e l'abbandono non richiede una prova.
+  *Stato:* da implementare (B-78) · *Oggi:* l'abbandono non richiede una
+  prova.
 
 - **[DAT-40]** `amount_requested_sats` è ciò che l'utente ha chiesto;
   `amount_sent_sats` è l'output effettivo verso il destinatario: l'importo