Abandon a transaction only on proof, and keep watching failed rows (B-78, TX-15, TX-17, TX-23, TX-26, ELC-28, DAT-33, DAT-36, DAT-69, DAT-72, AUD-11, AUD-12, AUD-31, AUD-39, API-32)

reconcile_once abandoned a row when the *active* server's history lacked its txid: after 120s for `building` (which a restart onto a different server makes likely), after 6h for `pending`, and all at once after a forward clock jump. It re-checked the status but not the txid, so it raced the bumper, and a `failed` row was never looked at again. - The reconciler asks every server (ElectrumListener.get_histories, active + others) for the history of the row's address and looks for every txid of the row. Present on any server -> promoted (adopting the version found). Absent is only "no server of the quorum knows it" and needs the active server plus the quorum minimum of the others to have answered; even then nothing is released without proof: (a) an input spent in a block by a transaction that is none of the row's versions, agreed by a strict majority of a quorum of the other servers (confirmed_spender), or (b) a rebroadcast of the latest raw tx to every server (rebroadcast_everywhere) refused by all of them, explicitly, for missing/spent inputs. Accepted or "already known" by any server means alive; a fee refusal is not proof (`building` -> `pending` for the bumper, `pending` untouched); too few answers or anything else leaves the row alone. failure_reason names the proof. - The write re-reads status *and* current_txid under begin_immediate (TX-26). - pending_transactions.failed_at (set by _abandon and _release_failed_withdrawal) starts a 14-day watch: a failed row that a majority of the other servers (at least the quorum minimum) list in a block becomes `confirmed`, writes pending_tx_resurrected once and pauses the lottery with paused_reason `resurrected_tx`; linked rows are not corrected. The confirmation is by quorum of histories for now; merkle proofs come with B-83. - round_config.paused_reason (migration b7d2e41c9a05, with the failed_at one): `operator` from POST /admin/pause (which accepts an optional `note` and never overwrites an automatic reason), cleared by resume, which logs the reason it lifted; exposed on /admin/config and GET /rounds/current. rounds/pause.py:pause_automatically is the system's way in. - PendingTransactionReconciler takes the listener as `network`; with none it can promote but never abandon. Tests changed because the spec changed: the three reconciler tests that expect an abandonment (and the one in test_tx_versions) now supply a network that proves the transaction is gone. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>
2026-10-14 15:07:09 +02:00
1 parent f936d6660c
commit a4b160e240
@@ -1,6 +1,6 @@
 # ADR-51 — Nel dubbio non si liberano mai i fondi

- **Stato:** Accettata — implementazione da completare (B-78)
+- **Stato:** Accettata
 - **Area:** Denaro in movimento
 - **Fonte di verità per:** la scelta di progetto descritta qui sotto; i requisiti (`PREFISSO-NN`) che la attuano stanno nei documenti di dominio, indicati nelle *Conseguenze*.

@@ -36,8 +36,4 @@ pausa la lotteria ([ADR-28](ADR-28-pausa-manutenzione-ferma-round-successivo.md)
  congelato e visibile, mai duplicato.

 *Codice:* `app/tx/reconcile.py:reconcile_once` · `app/tx/reconcile.py:_is_due` · `app/bets/service.py:place_bet` · `app/withdrawals/service.py:request_withdrawal` · `app/tx/confirmation.py:poll_once` · `app/tx/broadcast.py:bump_fee` ·
-*Test:* `tests/unit/test_broadcast_outcome.py`
-*Stato:* da implementare (B-78) · *Oggi:* l'abbandono avviene
-quando la cronologia del solo server attivo non contiene alcun txid della
-riga, dopo 120s per `building` e 6 ore per `pending`; le righe `failed` non
-sono più controllate.
+*Test:* `tests/unit/test_broadcast_outcome.py`, `tests/unit/test_tx_versions.py`, `tests/unit/test_reconcile_proof.py`
@@ -555,7 +555,7 @@ esiste una API separata per l'amministrazione, solo un'autenticazione diversa.
    | `pool_address` | stringa o `null` | indirizzo del montepremi del round, verificabile su un esploratore |
    | `chain_tip_height` | intero o `null` | ultima altezza nota della catena; `null` finché non è nota |
    | `lottery_paused` | booleano | lotteria in pausa, per qualunque motivo |
-    | `paused_reason` | stringa o `null` | `operator`, `reorg`, `payout_blocked`, `resurrected_tx`, oppure `null` se non in pausa ([modello-dati.md](modello-dati.md), DAT-69) — *da implementare (B-78, B-82, B-85)* |
+    | `paused_reason` | stringa o `null` | `operator`, `reorg`, `payout_blocked`, `resurrected_tx`, oppure `null` se non in pausa ([modello-dati.md](modello-dati.md), DAT-69) |
    | `lottery_configured` | booleano | falso finché manca configurazione indispensabile (oggi: `fee_address`), e quindi nessun round può aprirsi |
    | `user_played` | booleano | vero se il chiamante autenticato ha una riga di partecipazione in questo round, in qualunque stato; sempre falso per un anonimo |

@@ -831,9 +831,10 @@ dei parametri operativi in
    vede `lottery_paused` al polling successivo.
  *Codice:* `app/api/routes/admin.py:pause_lottery`,
  `app/api/routes/admin.py:resume_lottery` ·
-  *Test:* `tests/unit/test_admin.py`
-  *Stato:* da implementare (B-78, B-82, B-85) · *Oggi:* nessun corpo, nessun
-  `paused_reason`, e la pausa è solo manuale.
+  *Test:* `tests/unit/test_admin.py`, `tests/unit/test_pause_reason.py`
+  *Stato:* da implementare (B-82), per l'azzeramento di `payout_blocked_at` ·
+  *Oggi:* `rounds.payout_blocked_at` non esiste ancora; le pause automatiche
+  esistenti sono solo `resurrected_tx`.

 #### GET /admin/users

@@ -213,9 +213,11 @@ flowchart LR
  `app/electrum/listener.py:ElectrumListener._apply_header`,
  `app/rounds/scheduler.py:RoundScheduler._trigger_payout`,
  `app/tx/reconcile.py:reconcile_once` ·
-  *Test:* nessun test verifica la riga di audit.
-  *Stato:* da implementare (B-78, B-82, B-85, B-90) · *Oggi:* scritto solo
-  da `POST /admin/pause`, con payload vuoto `{}`.
+  *Test:* `tests/unit/test_pause_reason.py`
+  *Stato:* da implementare (B-82, B-85, B-90) · *Oggi:* scritto da
+  `POST /admin/pause` (`operator`) e dal riconciliatore (`resurrected_tx`);
+  `reorg`, `payout_blocked` e l'avvio con `START_PAUSED` non lo scrivono
+  ancora.

 - **[AUD-12]** `lottery_resumed` — `POST /admin/resume`. Payload
  `{"reason"}`: il `paused_reason` che la ripresa ha tolto (`null` se la
@@ -225,8 +227,9 @@ flowchart LR
  `paused = false`, `paused_reason = NULL` e dell'azzeramento di
  `payout_blocked_at`.
  *Codice:* `app/api/routes/admin.py:resume_lottery` ·
-  *Test:* nessun test verifica la riga di audit.
-  *Stato:* da implementare (B-78, B-82, B-85) · *Oggi:* payload vuoto `{}`.
+  *Test:* `tests/unit/test_pause_reason.py`
+  *Stato:* da implementare (B-82), per l'azzeramento di `payout_blocked_at` ·
+  *Oggi:* `rounds.payout_blocked_at` non esiste ancora.

 - **[AUD-13]** `admin_privkey_accessed` — `GET /admin/users/{id}/privkey` ha
  esportato la chiave privata (WIF) di un utente. Payload `{"user_id"}`.
@@ -582,10 +585,7 @@ flowchart LR
  montepremi non è tracciato in `utxo_events`). `user_id` e `round_id` come
  in [AUD-30]. Stessa transazione dell'abbandono.
  *Codice:* `app/tx/reconcile.py:_abandon` ·
-  *Test:* `tests/unit/test_reconcile.py`
-  *Stato:* da implementare (B-78) · *Oggi:* basta che la cronologia del
-  server attivo non contenga il txid corrente, e `reason` è sempre
-  `"not found on chain"`.
+  *Test:* `tests/unit/test_reconcile.py`, `tests/unit/test_reconcile_proof.py`

 - **[AUD-39]** `pending_tx_resurrected` — una riga `failed` da meno di 14
  giorni è risultata confermata: una transazione data per persa è arrivata in
@@ -599,9 +599,7 @@ flowchart LR
  passaggio a `confirmed`, della pausa e della riga `lottery_paused` con
  `reason = "resurrected_tx"` ([AUD-11]). Le righe collegate non vengono
  corrette: la procedura è in [operativita.md](operativita.md) (OPS-30).
-  *Codice:* `app/tx/reconcile.py:reconcile_once` · *Test:* —
-  *Stato:* da implementare (B-78) · *Oggi:* una riga `failed` non viene più
-  guardata e l'evento non esiste.
+  *Codice:* `app/tx/reconcile.py:_resurrect` · *Test:* `tests/unit/test_reconcile_proof.py`

 - **[AUD-40]** `rbf_bump_failed` — un aumento di commissione non è riuscito
  ([TX-24](transazioni-e-riconciliazione.md#rbf-accelerare-una-transazione-lenta)).
@@ -219,10 +219,7 @@ giocata, ma il montepremi pubblicizzato non supera mai quello che verrà pagato.
  ([TX-11](transazioni-e-riconciliazione.md#rbf-accelerare-una-transazione-lenta)),
  pagato dall'utente.
  *Codice:* `app/rounds/scheduler.py:RoundScheduler._tick`, `app/rounds/scheduler.py:RoundScheduler._close_and_draw` ·
-  *Test:* `tests/unit/test_scheduler.py` (solo il secondo controllo, in `_close_and_draw`; nessun test copre l'attesa in `_tick` con una scommessa in volo)
-  *Stato:* da implementare (B-78) · *Oggi:* l'attesa è già senza limite, ma
-  il riconciliatore abbandona una scommessa anche solo perché la cronologia
-  del server attivo non contiene il suo txid, senza altra prova.
+  *Test:* `tests/unit/test_scheduler.py` (solo il secondo controllo, in `_close_and_draw`; nessun test copre l'attesa in `_tick` con una scommessa in volo), `tests/unit/test_reconcile_proof.py`
 - **[RND-13]** Quando non resta nulla in volo e **nessun partecipante è
  confermato**, il round passa a `closed` senza vincitore, si scrive
  `round_closed` (con `participants: 0`) e si invia una notifica SSE.
@@ -274,14 +274,13 @@ Ogni decisione che sposta denaro in base a una risposta della rete viene
 confermata dagli **altri** server configurati, mai dal solo server attivo
 (che è proprio quello che un attaccante controllerebbe).

-Oggi non è ancora così: solo le tre verifiche [ELC-15]–[ELC-17] sono
-corroborate. Le conferme delle transazioni (`app/tx/confirmation.py:poll_once`),
-l'abbandono di una transazione (`app/tx/reconcile.py:reconcile_once`), il
-reintegro di una moneta ricomparsa
+Oggi non è ancora così per tre decisioni: le conferme delle transazioni
+(`app/tx/confirmation.py:poll_once`), il reintegro di una moneta ricomparsa
 (`app/deposits/service.py:reinstate_reappeared_utxos`) e la lettura delle
 monete del montepremi per il pagamento
 (`app/rounds/scheduler.py:RoundScheduler._trigger_payout`) si basano sul solo
-server attivo; sono le righe [ELC-26], [ELC-28], [ELC-25] e [ELC-27].
+server attivo; sono le righe [ELC-26], [ELC-25] e [ELC-27]. L'abbandono di una
+transazione ([ELC-28]) e l'invio ([TX-04], [TX-21]) usano già tutti i server.

 - **[ELC-14]** La corroborazione interroga in parallelo tutti i server
  configurati tranne quello attivo, ciascuno con una connessione nuova e un
@@ -327,8 +326,6 @@ Stato delle righe della tabella:
  con altezza maggiore di 0.
 - [ELC-27] — *Stato:* da implementare (B-82) · *Oggi:* il pagamento sceglie
  fra le monete che il server attivo elenca per il montepremi.
- [ELC-28] — *Stato:* da implementare (B-78) · *Oggi:* si abbandona quando la
-  cronologia dell'indirizzo sul server attivo non contiene il txid.

 I saldi si muovono in entrambe le direzioni, quindi entrambe richiedono lo
 stesso quorum. Le conseguenze di una verifica non riuscita:
@@ -108,16 +108,16 @@ implementato il [piano delle correzioni](piano-correzioni.md).
  *Codice:* `app/tx/broadcast.py:bump_fee` · `app/wallet/psbt_builder.py:build_payout_transaction` · `app/tx/reconcile.py:reconcile_once`

 - **[LIM-03]** **L'attesa in `closing` non ha un limite proprio.** Il round
-  aspetta ogni scommessa `building`/`broadcast`. Oggi a porre fine all'attesa
-  di una scommessa che non conferma è solo il riconciliatore, dopo 6 ore dal
-  primo invio se la transazione è sparita dalla rete del server attivo; una
-  scommessa ferma ma presente in mempool trattiene il round senza limite
-  ([LIM-02]).
+  aspetta ogni scommessa `building`/`broadcast`. A porre fine all'attesa di
+  una scommessa che non conferma è la sua conferma (una qualsiasi delle sue
+  versioni) oppure il riconciliatore, ma solo con la prova che non è partita
+  ([ADR-51](adr/ADR-51-dubbio-liberano-mai-fondi.md)); una scommessa ferma ma presente in mempool trattiene il round senza
+  limite ([LIM-02]).
  - *Impatto:* un round può restare chiuso ma non estratto per ore; nessun
    nuovo round si apre nel frattempo.
  - *Mitigazione attuale:* lo stato è visibile (`closing`) e il pannello
    «Transazioni pendenti» mostra la scommessa che trattiene il round.
-  - *Stato:* da chiudere con B-78 (in parte, per scelta).
+  - *Stato:* B-78 e B-77 chiusi; resta da chiudere B-87 (resto minimo), e per scelta l'assenza di un limite di tempo.
  - *Per chiuderlo:* con B-78 l'attesa finisce quando la scommessa conferma
    (una qualsiasi delle sue versioni, B-77) o quando c'è la prova che non
    confermerà mai ([ADR-51](adr/ADR-51-dubbio-liberano-mai-fondi.md)), non dopo un tempo fisso; con B-87 la scommessa
@@ -277,19 +277,17 @@ implementato il [piano delle correzioni](piano-correzioni.md).

 - **[LIM-12]** **Non tutte le letture di rete sono corroborate.** Passano dal
  solo server attivo: la conferma di scommesse, pagamenti e prelievi
-  (`poll_once`), la decisione del riconciliatore che una transazione «non
-  esiste più», l'elenco delle monete del montepremi usato per il pagamento, e il
+  (`poll_once`), l'elenco delle monete del montepremi usato per il pagamento, e il
  ripristino di una moneta prima segnata come spesa all'esterno.
  - *Impatto:* un server ostile potrebbe far considerare confermata una
-    scommessa che non lo è, o far abbandonare a torto una transazione viva
-    (liberandone le monete e, per un pagamento, azzerando `payout_txid`),
-    lasciando il database in disaccordo con la catena; il ripristino non
-    corroborato può reintegrare nel saldo una moneta davvero spesa.
-  - *Mitigazione attuale:* l'abbandono avviene solo dopo 6 ore per `pending`; un
-    invio basato su monete inesistenti è rifiutato dalla rete.
-  - *Stato:* da chiudere con B-83 (conferme e ripristini), B-78 (abbandono),
-    B-82 (monete del round prima del pagamento) e B-76 (invio a tutti i
-    server).
+    scommessa che non lo è, lasciando il database in disaccordo con la
+    catena; il ripristino non corroborato può reintegrare nel saldo una
+    moneta davvero spesa.
+  - *Mitigazione attuale:* l'abbandono richiede una prova ([ADR-51](adr/ADR-51-dubbio-liberano-mai-fondi.md)) e l'invio
+    arriva a tutti i server; un invio basato su monete inesistenti è rifiutato
+    dalla rete.
+  - *Stato:* da chiudere con B-83 (conferme e ripristini) e B-82 (monete del
+    round prima del pagamento).
  - *Per chiuderlo:* una conferma vale quando il quorum restituisce una prova
    merkle valida (`blockchain.transaction.get_merkle`) contro un header che
    possediamo; il ripristino richiede lo stesso quorum di un accredito;
@@ -162,7 +162,7 @@ erDiagram
        string replaced_by_txid
        int attempt_count
        string failure_reason
-        datetime failed_at "da implementare"
+        datetime failed_at
        datetime updated_at
    }
    pending_transaction_txids {
@@ -391,9 +391,8 @@ del database sono tutti uguali, perché arrivano tutti dallo stesso percorso
  *Codice:* le funzioni in tabella ·
  *Test:* `tests/unit/test_deposits.py`, `tests/unit/test_bets.py`,
  `tests/unit/test_withdrawals.py`, `tests/unit/test_reconcile.py`
-  *Stato:* da implementare (B-78, B-83) · *Oggi:* l'abbandono avviene sul
-  silenzio del solo server attivo, il reintegro sulla parola del solo server
-  attivo.
+  *Stato:* da implementare (B-83) · *Oggi:* il reintegro avviene sulla parola
+  del solo server attivo.

 - **[DAT-13]** Il riconciliatore libera un input solo se il suo `spent_txid` è
  uno dei txid della riga che sta abbandonando (`current_txid` o una sua
@@ -798,7 +797,7 @@ senza riavviare (vedi [limiti-noti.md](limiti-noti.md)).
 | `draw_confirmations` | Integer | `3` | 1 – 20 | Conferme richieste sul blocco di estrazione ([DAT-62]) — *da implementare (B-73)* | Dal round **successivo**, copiato all'apertura ([DAT-61]) |
 | `max_round_pool_sats` | BigInteger | `0` (tetto disattivato) | `0`, oppure `≥ bet_amount_sats` e `≤ 4 000 000 000 000 000` (400 × 100 000 PLM) | Tetto alla somma delle scommesse di un round ([DAT-27], [DAT-62]) — *da implementare (B-95)* | Subito, anche per il round in corso: vale per le scommesse successive |
 | `paused` | Boolean | `False` | non modificabile da `PUT /admin/config` | Pausa della lotteria | Subito per l'apertura del round successivo; il round in corso non è toccato |
-| `paused_reason` | String(16) | `NULL` | non modificabile da `PUT /admin/config` | Perché la lotteria è in pausa ([DAT-69]) — *da implementare (B-78, B-82, B-85)* | Insieme a `paused` |
+| `paused_reason` | String(16) | `NULL` | non modificabile da `PUT /admin/config` | Perché la lotteria è in pausa ([DAT-69]) | Insieme a `paused` |
 | `updated_at` | DateTime | `utcnow`, aggiornato a ogni modifica (`onupdate`) | — | Ultima modifica della riga | ORM |

 - **[DAT-28]** La tabella contiene al più una riga, creata alla prima lettura
@@ -828,8 +827,8 @@ senza riavviare (vedi [limiti-noti.md](limiti-noti.md)).
  [DAT-69], che scrivono la propria voce di audit.
  *Codice:* `app/api/routes/admin.py:pause_lottery` ·
  `app/api/routes/admin.py:resume_lottery` · *Test:* `tests/unit/test_admin.py`
-  *Stato:* da implementare (B-78, B-82, B-85) · *Oggi:* `paused_reason` non
-  esiste e nessun codice mette in pausa la lotteria da solo.
+  *Stato:* da implementare (B-82, B-85) · *Oggi:* l'unica pausa automatica è
+  `resurrected_tx` (B-78); quelle di B-82 e B-85 non esistono ancora.

 - **[DAT-62]** `deposit_confirmations` (predefinito 6) è il numero di
  conferme dopo cui un output che paga un utente si accredita ([DAT-10]);
@@ -868,9 +867,10 @@ senza riavviare (vedi [limiti-noti.md](limiti-noti.md)).
  `app/api/routes/admin.py:resume_lottery` ·
  `app/electrum/listener.py:ElectrumListener._apply_header` ·
  `app/rounds/scheduler.py:RoundScheduler._trigger_payout` ·
-  `app/tx/reconcile.py:reconcile_once` · *Test:* —
-  *Stato:* da implementare (B-78, B-82, B-85, B-90) · *Oggi:* esiste solo
-  `paused`, scritto solo dai due endpoint admin.
+  `app/tx/reconcile.py:reconcile_once` · *Test:* `tests/unit/test_pause_reason.py`
+  *Stato:* da implementare (B-82, B-85, B-90) · *Oggi:* si scrivono solo
+  `operator` (`POST /admin/pause`) e `resurrected_tx` (il riconciliatore);
+  `reorg`, `payout_blocked` e `START_PAUSED` non hanno ancora chi li scrive.

 - **[DAT-31]** Con `fee_address` vuoto (o di soli spazi) non si apre nessun round
  (B-66). Una volta impostato, l'API non permette di svuotarlo di nuovo: la
@@ -902,7 +902,7 @@ riconciliatore (vedi
 | `replaced_by_txid` | String(64) | sì | `NULL` | Il txid **sostituito** dall'ultimo bump (nonostante il nome, punta all'indietro). La cronologia completa è in `pending_transaction_txids` ([DAT-70]) e questa colonna resta solo informativa | `bump_fee` |
 | `attempt_count` | Integer | no | `1` | 1 + numero di bump riusciti | `bump_fee` |
 | `failure_reason` | String(128) | sì | `NULL` | Perché la transazione è fallita; solo con `status = failed` | `_abandon`; `_release_failed_withdrawal` |
-| `failed_at` | DateTime | sì | `NULL` | Istante del passaggio a `failed`; da lì si contano i 14 giorni di sorveglianza ([DAT-72]) — *da implementare (B-78)* | `_abandon`; `_release_failed_withdrawal` |
+| `failed_at` | DateTime | sì | `NULL` | Istante del passaggio a `failed`; da lì si contano i 14 giorni di sorveglianza ([DAT-72]) | `_abandon`; `_release_failed_withdrawal` |
 | `updated_at` | DateTime | no | `utcnow`, `onupdate` | Ultima modifica | ORM |

 Le funzioni citate sono `app/bets/service.py:place_bet`,
@@ -967,11 +967,8 @@ Le funzioni citate sono `app/bets/service.py:place_bet`,
  guarda le righe `pending`, più le `failed` entro 14 giorni.
  *Codice:* le funzioni in tabella ·
  *Test:* `tests/unit/test_confirmation.py`, `tests/unit/test_reconcile.py`,
-  `tests/unit/test_scheduler.py`, `tests/unit/test_bets.py`,
-  `tests/unit/test_withdrawals.py`
-  *Stato:* da implementare (B-78) · *Oggi:* l'abbandono avviene quando la
-  cronologia del solo server attivo non contiene `current_txid`; il poller
-  guarda solo le righe `pending` e una riga `failed` non viene più guardata.
+  `tests/unit/test_reconcile_proof.py`, `tests/unit/test_scheduler.py`,
+  `tests/unit/test_bets.py`, `tests/unit/test_withdrawals.py`

 - **[DAT-34]** Dopo la creazione, `current_txid`, `raw_tx_hex`,
  `fee_rate_sat_vb`, `replaced_by_txid`, `attempt_count` e `last_broadcast_at`
@@ -1012,9 +1009,7 @@ Le funzioni citate sono `app/bets/service.py:place_bet`,
  conserva `failure_reason` e `failed_at`.
  *Codice:* `app/tx/reconcile.py:_abandon` ·
  `app/withdrawals/service.py:_release_failed_withdrawal` ·
-  *Test:* `tests/unit/test_reconcile.py`
-  *Stato:* da implementare (B-78) · *Oggi:* il riconciliatore scrive sempre
-  `"not found on chain"` e `failed_at` non esiste.
+  *Test:* `tests/unit/test_reconcile.py`, `tests/unit/test_reconcile_proof.py`

 - **[DAT-72]** Una riga `failed` con `failed_at` negli ultimi 14 giorni resta
  tra quelle che il riconciliatore controlla a ogni giro (120 s,
@@ -1027,9 +1022,7 @@ Le funzioni citate sono `app/bets/service.py:place_bet`,
  ricostruite automaticamente: le riallinea l'operatore
  ([operativita.md](operativita.md) B-78).
  *Codice:* `app/tx/reconcile.py:reconcile_once` · `app/tx/reconcile.py:_abandon` ·
-  *Test:* —
-  *Stato:* da implementare (B-78) · *Oggi:* una riga `failed` non viene mai
-  più letta.
+  *Test:* `tests/unit/test_reconcile_proof.py`

 - **[DAT-37]** Per le righe `bet` e `withdrawal` in `building`/`pending`,
  `raw_tx_hex` è la fonte del saldo "in attesa" (gli output che tornano
@@ -1138,9 +1131,7 @@ dall'utente.
  Se la riga `pending_transactions` di un prelievo `failed` risorge
  ([DAT-72]), il prelievo resta `failed` finché l'operatore non lo riallinea.
  *Codice:* le funzioni in tabella ·
-  *Test:* `tests/unit/test_withdrawals.py`, `tests/unit/test_reconcile.py`
-  *Stato:* da implementare (B-78) · *Oggi:* l'abbandono non richiede una
-  prova.
+  *Test:* `tests/unit/test_withdrawals.py`, `tests/unit/test_reconcile.py`, `tests/unit/test_reconcile_proof.py`

 - **[DAT-40]** `amount_requested_sats` è ciò che l'utente ha chiesto;
  `amount_sent_sats` è l'output effettivo verso il destinatario: l'importo
@@ -313,7 +313,7 @@ modifica di `.env` e da solo dopo un crash (`restart: unless-stopped`).
  Le transazioni rimaste `building` (crash a metà invio) vengono risolte dal
  riconciliatore secondo le regole di
  [transazioni-e-riconciliazione.md](transazioni-e-riconciliazione.md)
-  (B-78): promosse se in catena, abbandonate solo con una prova. Si perdono
+  promosse se in catena, abbandonate solo con una prova. Si perdono
  invece, perché solo in memoria: i blocchi dei login per troppi tentativi e
  le quote per IP, le connessioni SSE (i browser si riconnettono da soli), i
  lock per utente.
@@ -321,11 +321,9 @@ modifica di `.env` e da solo dopo un crash (`restart: unless-stopped`).
  `app/rounds/scheduler.py:RoundScheduler._retry_payout_if_due`,
  `app/tx/reconcile.py:reconcile_once` ·
  *Test:* `tests/unit/test_scheduler.py`, `tests/unit/test_reconcile.py`
-  *Stato:* da implementare (B-81, B-78) · *Oggi:* un round in `drawing`
+  *Stato:* da implementare (B-81) · *Oggi:* un round in `drawing`
  **non riprende**: resta in `drawing` per sempre e nessun nuovo round si apre
-  (serve [OPS-13]); una riga `building` non trovata nella cronologia del
-  server attivo viene abbandonata dopo 120 secondi dalla creazione, al primo
-  passaggio del riconciliatore (ogni 120s) con la connessione attiva.
+  (serve [OPS-13]).

 - **[OPS-10]** **Riavvio sicuro e deploy** (nuova versione, modifica di
  `.env`, rotazione di un segreto):
@@ -547,12 +545,12 @@ con `docker compose logs app` ([architettura.md](architettura.md) ARC-09).
     impossibile: vedi [OPS-17].
  3. Se la riga è `building` da più di 2 minuti, il riconciliatore la risolve
     al suo prossimo passaggio (ogni 120s).
-  4. Una transazione che il server attivo non conosce più viene abbandonata
-     dopo 6 ore dal primo invio (`pending_tx_abandoned`); il partecipante viene
-     rimosso e il round può chiudere. Dopo B-78 l'abbandono richiede una prova
-     (ingressi spesi altrove, o un nuovo invio rifiutato da tutti i server):
-     una transazione che nessuno conosce ma i cui ingressi non sono spesi non
-     viene più abbandonata per il solo passare del tempo.
+  4. Una transazione viene abbandonata (`pending_tx_abandoned`) solo con una
+     prova: un suo ingresso speso in un blocco da un'altra transazione, oppure
+     nessun server che la conosca *e* un nuovo invio rifiutato da tutti per
+     ingressi mancanti o già spesi. Il partecipante viene allora rimosso e il
+     round può chiudere. Una transazione che nessuno conosce ma i cui ingressi
+     non sono spesi non viene abbandonata per il solo passare del tempo.
  *Codice:* `app/rounds/scheduler.py:RoundScheduler._tick`,
  `app/tx/broadcast.py:RbfBumper`, `app/tx/reconcile.py:_is_due` ·
  *Test:* `tests/unit/test_scheduler.py`, `tests/unit/test_broadcast.py`,
@@ -579,7 +577,7 @@ con `docker compose logs app` ([architettura.md](architettura.md) ARC-09).
  | `winner_share_below_network_fee` | Il montepremi è troppo piccolo per la commissione di rete. Abbassare `fee_rate_sat_vb`; se è già 1, nessuna procedura supportata |
  | `commission_below_dust_limit` | Il 30% è sotto 294 sat (montepremi sotto 980 sat, solo con un costo della scommessa minuscolo). Nessuna procedura supportata |
  | `payout build failed` | Leggere la traccia nel log (`round N payout build failed`) |
-  | `broadcast rejected` | Si risolve da sola: la riga `building` viene abbandonata dal riconciliatore fra 120 e 240 secondi dopo (al primo passaggio oltre i 120s), `payout_txid` si azzera e il pagamento viene ricostruito. Se si ripete, la rete rifiuta la transazione: controllare il messaggio nel log e `fee_rate_sat_vb`. Oggi lo stesso motivo compare anche per un timeout o una connessione caduta durante l'invio, quando la transazione potrebbe essere partita; dopo B-76 solo un rifiuto esplicito libera la riga |
+  | `broadcast rejected` | L'invio non è stato accettato: rifiutato, oppure senza risposta (timeout, connessione caduta) quando la transazione può essere partita. La riga resta `building`: dopo 120 secondi il riconciliatore la cerca su tutti i server e, se la trova, la promuove a `pending`; solo con la prova che non è partita (ingressi spesi altrove, o un nuovo invio rifiutato da tutti per ingressi mancanti) la abbandona, `payout_txid` si azzera e il pagamento viene ricostruito. Finché non succede nessuna delle due il round resta in `paying_out`: controllare il messaggio nel log, i server Electrum raggiungibili e `fee_rate_sat_vb` |

  **`insufficient pool UTXOs`.** Il pagamento usa solo gli UTXO **confermati**
  dell'indirizzo del montepremi, escludendo quelli già riservati da un altro
@@ -611,12 +609,13 @@ con `docker compose logs app` ([architettura.md](architettura.md) ARC-09).
  **Sintomi.** Riga `pending_tx_abandoned` nel registro di audit; nel log
  `abandoned <tipo> pending_transaction …`; la riga in "Transazioni pendenti"
  passa a `failed`.
-  **Causa.** Oggi: la transazione non compare nella cronologia del proprio
-  indirizzo secondo il **solo server attivo**: mai partita (riga `building` da
-  oltre 120s) o scomparsa dal mempool (riga `pending` da oltre 6 ore dal primo
-  invio). Non è una prova: un server diverso da quello che ha ricevuto l'invio
-  può non conoscerla (si cercano tutte le versioni di una transazione
-  accelerata con RBF, ma solo sul server attivo).
+  **Causa.** Una prova che la transazione non è partita o non confermerà
+  mai: un suo ingresso è stato speso in un blocco da un'altra transazione
+  (il `reason` del payload nomina il txid), oppure nessun server la
+  conosceva e un nuovo invio è stato rifiutato da tutti per ingressi mancanti
+  o già spesi. Il solo passare del tempo o il silenzio di un server non
+  bastano mai: si cercano tutte le versioni di una transazione accelerata con
+  RBF su tutti i server.
  **Effetto e cosa fare.** Il sistema ha già annullato tutto: UTXO liberati e
  saldo ricalcolato; per una scommessa il partecipante è rimosso (l'utente può
  riscommettere se il round è ancora aperto); per un prelievo la richiesta è
@@ -630,10 +629,10 @@ con `docker compose logs app` ([architettura.md](architettura.md) ARC-09).
  per un pagamento già arrivato al vincitore, mettere subito in pausa la
  lotteria e trattare il round come in [OPS-07], passo 6. Se gli abbandoni
  sono frequenti, la commissione di rete configurata è probabilmente troppo
-  bassa. Dopo B-78 si abbandona solo con una prova, e una riga `failed` che
-  conferma più tardi mette in pausa la lotteria da sola ([OPS-30]).
+  bassa. Una riga `failed` che conferma più tardi (entro 14 giorni) mette in
+  pausa la lotteria da sola ([OPS-30]).
  *Codice:* `app/tx/reconcile.py:_abandon` ·
-  *Test:* `tests/unit/test_reconcile.py`
+  *Test:* `tests/unit/test_reconcile.py`, `tests/unit/test_reconcile_proof.py`

 ### RBF impossibile

@@ -820,9 +819,9 @@ con `docker compose logs app` ([architettura.md](architettura.md) ARC-09).
  `app/tx/confirmation.py:poll_once`,
  `app/rounds/scheduler.py:RoundScheduler._trigger_payout` ·
  *Test:* —
-  *Stato:* da implementare (B-85, B-78, B-82, B-90) · *Oggi:* esiste solo la
-  pausa dell'operatore, senza motivo; nessun evento del sistema mette in pausa
-  la lotteria.
+  *Stato:* da implementare (B-85, B-82, B-90) · *Oggi:* il sistema mette in
+  pausa la lotteria solo per `resurrected_tx` (B-78); `reorg` e
+  `payout_blocked` non esistono ancora.

 ### Intervento manuale sui fondi

@@ -226,7 +226,7 @@ cifrava di nuovo il file sbagliato (vedi [operativita.md](operativita.md)).
 | B-75 | Una risposta Electrum oltre 64 KiB chiude la connessione, e la cronologia dell'indirizzo del montepremi la supera dopo ~800 transazioni | Critica | *da registrare* | `test_electrum_client.py`, `test_deposits.py`, `test_psbt_builder.py` | ELC, TX |
 | B-76 | Un invio ambiguo (timeout, connessione caduta) viene annullato come se fosse rifiutato | Critica | *da registrare* | `test_broadcast_outcome.py`, `test_electrum_client.py` | TX, BET, WDR |
 | B-77 | Si ricorda solo l'ultimo txid di una transazione accelerata, e la sostituzione viene inviata prima di essere salvata | Critica | *da registrare* | `test_tx_versions.py`, `test_migrations.py`, `test_broadcast.py` | TX |
-| B-78 | Una transazione viene abbandonata sulla base del silenzio di un solo server | Critica | **aperto** | — | TX, ELC |
+| B-78 | Una transazione viene abbandonata sulla base del silenzio di un solo server | Critica | *da registrare* | `test_reconcile_proof.py`, `test_reconcile.py`, `test_pause_reason.py`, `test_migrations.py` | TX, ELC |
 | B-79 | Il pagamento di norma non ha resto, quindi non si può accelerare e può bloccare la lotteria | Critica | **aperto** | — | RND, TX |
 | B-80 | Un solo indirizzo del montepremi per tutti i round | Critica | *da registrare* | `test_round_pool_address.py`, `test_pending_address.py`, `test_scheduler.py` | RND, BET, WDR |
 | B-81 | `drawing` resta bloccato dopo qualsiasi eccezione, non solo dopo un riavvio | Critica | **aperto** | — | RND |
@@ -252,9 +252,9 @@ cifrava di nuovo il file sbagliato (vedi [operativita.md](operativita.md)).

 - **Corretti:** B-01 … B-70, tranne B-16, che è chiuso nella sostanza (il
  crash è eliminato e `/guida` serve un segnaposto) ma lascia la guida vera
-  come limite accettato; dalla revisione del 2026-09-28: B-88, B-75, B-97, B-80, B-84, B-76, B-77.
+  come limite accettato; dalla revisione del 2026-09-28: B-88, B-75, B-97, B-80, B-84, B-76, B-77, B-78.
 - **Aperti:** B-71, B-72 (gravità bassa, operativi o di documentazione) e
-  B-73 … B-98 dalla revisione del 2026-09-28 tranne i corretti (6 critici,
+  B-73 … B-98 dalla revisione del 2026-09-28 tranne i corretti (5 critici,
  7 alti, 6 medi), da implementare nell'ordine di
  [piano-correzioni.md](piano-correzioni.md).
 - **Prossimo numero libero:** `B-99`.
@@ -327,23 +327,14 @@ riserva di [TX-11] serve proprio a dargli un'uscita da ridurre.
  alcuno, e anche in quel caso l'assenza da sola non basta ad abbandonarla
  ([TX-17]). Un **errore di rete** non porta a nulla: la riga resta com'è
  fino al giro successivo.
-  *Codice:* `app/tx/reconcile.py:reconcile_once`, `app/electrum/listener.py:ElectrumListener._corroborate_majority` ·
-  *Test:* `tests/unit/test_reconcile.py`, `tests/unit/test_tx_versions.py`
-  *Stato:* da implementare (B-78) · *Oggi:* si interroga solo il server
-  attivo, e un txid assente dalla sua cronologia è
-  trattato come "sconosciuto alla rete": dopo un riavvio su un server diverso
-  una riga `building` viene abbandonata dopo 120s anche se la transazione è
-  nella mempool degli altri nodi (che la tengono fino a 336 ore con le
-  impostazioni predefinite di Bitcoin Core, contro le 6 ore di tolleranza).
+  *Codice:* `app/tx/reconcile.py:reconcile_once`, `app/electrum/listener.py:ElectrumListener.get_histories` ·
+  *Test:* `tests/unit/test_reconcile_proof.py`, `tests/unit/test_reconcile.py`, `tests/unit/test_tx_versions.py`
 - **[TX-26]** Prima di scrivere un esito, il riconciliatore rilegge la riga
  nella propria transazione del database ([TX-28]) e non fa nulla se il suo
  stato **o il suo `current_txid`** non sono più quelli che aveva quando ha
  interrogato la rete (una conferma o un RBF avvenuti nel frattempo).
  *Codice:* `app/tx/reconcile.py:reconcile_once` ·
-  *Test:* —
-  *Stato:* da implementare (B-78) · *Oggi:* ricontrolla solo lo stato, quindi
-  può abbandonare una riga appena sostituita dall'RBF sulla base del txid
-  precedente.
+  *Test:* `tests/unit/test_reconcile_proof.py`
 - **[TX-16]** **Presente in rete**: una riga `building` viene promossa a
  `pending` (e partecipante o prelievo da `building` a `broadcast`), con un
  evento `pending_tx_recovered` e l'evento che l'invio riuscito avrebbe
@@ -377,11 +368,8 @@ riserva di [TX-11] serve proprio a dargli un'uscita da ridurre.
  il partecipante viene rimosso, o il prelievo segnato `failed` senza txid; il
  saldo dell'utente viene ricalcolato; si scrive `pending_tx_abandoned` (con
  il numero di monete liberate) e si invia una notifica SSE.
-  *Codice:* `app/tx/reconcile.py:_abandon`, `app/tx/reconcile.py:_release_inputs`, `app/tx/reconcile.py:reconcile_once` ·
-  *Test:* `tests/unit/test_reconcile.py`
-  *Stato:* da implementare (B-78) · *Oggi:* basta che la cronologia del
-  server attivo non contenga `current_txid` (motivo `not found on chain`),
-  senza reinvio e senza guardare gli ingressi.
+  *Codice:* `app/tx/reconcile.py:_abandon`, `app/tx/reconcile.py:_release_inputs`, `app/tx/reconcile.py:reconcile_once`, `app/electrum/listener.py:ElectrumListener.confirmed_spender`, `app/electrum/listener.py:ElectrumListener.rebroadcast_everywhere` ·
+  *Test:* `tests/unit/test_reconcile_proof.py`, `tests/unit/test_reconcile.py`
 - **[TX-23]** **Le righe `failed` restano sorvegliate** per 14 giorni dal
  passaggio a `failed` (`failed_at`, [modello-dati.md](modello-dati.md)
  (B-78)): a ogni giro il riconciliatore cerca i loro txid come in [TX-15].
@@ -391,11 +379,12 @@ riserva di [TX-11] serve proprio a dargli un'uscita da ridurre.
  lotteria viene messa in pausa (`paused_reason = 'resurrected_tx'`) perché
  l'operatore rimetta in ordine partecipante, prelievo o pagamento; il
  riconciliatore non corregge da solo le righe collegate.
-  *Codice:* `app/tx/reconcile.py:reconcile_once` ·
-  *Test:* —
-  *Stato:* da implementare (B-78) · *Oggi:* una riga `failed` non viene più
-  guardata: se la transazione conferma dopo l'abbandono, nessuno se ne
-  accorge.
+  *Codice:* `app/tx/reconcile.py:reconcile_once`, `app/tx/reconcile.py:_resurrect`, `app/rounds/pause.py:pause_automatically` ·
+  *Test:* `tests/unit/test_reconcile_proof.py`, `tests/unit/test_pause_reason.py`
+  *Stato:* da implementare (B-83), per la conferma con prova merkle · *Oggi:*
+  la conferma di una riga `failed` è quella dei server **altri dall'attivo**:
+  una maggioranza stretta di essi (almeno il minimo del quorum) elenca uno
+  dei suoi txid in un blocco, senza prova merkle ([TX-22]).
 - **[TX-27]** Il riconciliatore invia una notifica SSE solo per le righe di
  cui ha cambiato qualcosa (promozione, abbandono, riallineamento del txid),
  non per ogni riga esaminata.