Safe restore from a backup: START_PAUSED and the derivation-gap check (B-90, REG-15, OPS-27)

START_PAUSED=true pauses the lottery as the operator before the scheduler exists.
On the first Electrum session the 20 derivation indexes past the highest
assigned one are looked up on every server; if any has history, registration
stays closed (503 registration_unavailable) and restore_gap_detected is
written, so a restored database cannot hand a lost user's address to a new one.

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

docs/audit-log.md

@@ -44,7 +44,7 @@ ogni tipo di evento. Le colonne della tabella `audit_log` sono descritte in
   `app/tx/broadcast.py:RbfBumper._tick`, `app/main.py:lifespan`,
   `app/rounds/scheduler.py:RoundScheduler._tick`,
   `app/electrum/listener.py:ElectrumListener._record_reorg`
-  *Stato:* da implementare (B-90, B-96), per due degli eventi
+  *Stato:* da implementare (B-96), per uno degli eventi
   nuovi · *Oggi:* gli eventi osservativi sono i primi quattro,
   `chain_reorg_detected` e `rbf_bump_failed`.
 
@@ -213,11 +213,7 @@ flowchart LR
   `app/electrum/listener.py:ElectrumListener._record_reorg`,
   `app/rounds/scheduler.py:RoundScheduler._trigger_payout`,
   `app/tx/reconcile.py:reconcile_once` ·
-  *Test:* `tests/unit/test_pause_reason.py`, `tests/unit/test_electrum_listener.py`
-  *Stato:* da implementare (B-90) · *Oggi:* scritto da
-  `POST /admin/pause` (`operator`), dal riconciliatore (`resurrected_tx`), dal
-  listener (`reorg`) e dallo scheduler (`payout_blocked`); l'avvio con
-  `START_PAUSED` non lo scrive ancora.
+  *Test:* `tests/unit/test_pause_reason.py`, `tests/unit/test_electrum_listener.py`, `tests/unit/test_restore_gap.py`
 
 - **[AUD-12]** `lottery_resumed` — `POST /admin/resume`. Payload
   `{"reason"}`: il `paused_reason` che la ripresa ha tolto (`null` se la
@@ -294,8 +290,7 @@ flowchart LR
   ogni avvio in cui il controllo trova indirizzi usati; transazione propria
   ([AUD-03]). La sospensione delle registrazioni che ne segue non dipende da
   questa riga. Procedura in [operativita.md](operativita.md) (OPS-28).
-  *Codice:* `app/main.py:lifespan` · *Test:* —
-  *Stato:* da implementare (B-90) · *Oggi:* nessun controllo e nessun evento.
+  *Codice:* `app/electrum/listener.py:ElectrumListener._check_restore_gap` · *Test:* `tests/unit/test_restore_gap.py`
 
 ### Denaro degli utenti