feat(pay): Phase D 归集 —— 气隙签名 sweep(#34/34A)

动钱代码,按"联网建/广播 + 离线签"气隙流程,离线签名独立验签防篡改:
- wallet: DecodeTronAddress/TronAddressBodyHex(base58check 解码校验)、AddressFromMnemonic(离线校验用)。
- tron/sign: TxID(sha256 raw_data)、SignRawData(secp256k1 → R||S||recid 65B)、RecoverAddressBody。
- tron/abi: ABIEncodeTransferParams(transfer(address,uint256) 参数)、keccak 地址体。
- tron/tx(联网): BuildTransfer(triggersmartcontract 建未签名)、TRC20Balance、Broadcast。
- cmd/sweep: plan/build/sign/broadcast 四段;sign 对每笔独立验:①重算 txid 防篡改 ②收款人+额 ABI
  内嵌 ③USDT 合约内嵌 ④派生地址==owner,任一不符拒签;助记词只经 PAY_SWEEP_MNEMONIC(离线机,不入 arg)。
- 测试:签名可恢复到正确地址、ABI 编码、地址解码 roundtrip 全绿。
- 联网上链部分标注需 Phase E 真链验证;README 补 sweep 用法 + 验签说明 + gas 提醒。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

pay/README.md

@@ -48,10 +48,36 @@ GET  /healthz           → 200 ok
 
 门面(独角数卡)下单时调 `POST /order` 拿收款地址;支付页轮询 `GET /order/{id}` 直到 `paid`。
 
-## Phase D —— 归集(离线,后续)
+## Phase D —— 归集(气隙签名,`cmd/sweep`)
 
-`internal/wallet/seed.go` 提供离线派生私钥的原语(`PrivKeyHexFromMnemonic`)。完整的 sweep
-(构造 TRC20 transfer → 离线签名 → 广播)+ gas 处理 + runbook 在后续切片实现。
+把散在各收款地址的 USDT 扫到冷钱包,**助记词只在离线机上出现**,联网机永远拿不到私钥。
+四段式,跨气隙用文件传递(unsigned.json / signed.json):
+
+```bash
+# ① 联网:列出有余额的收款地址
+PAY_ACCOUNT_XPUB=xpub... TRONGRID_API_KEY=... go run ./cmd/sweep plan --max 50
+
+# ② 联网:构造未签名转账(全额 → 冷钱包),不碰私钥
+PAY_ACCOUNT_XPUB=xpub... TRONGRID_API_KEY=... \
+  go run ./cmd/sweep build --cold TColdAddr... --max 50 --fee-limit 30000000 > unsigned.json
+
+# ③ 离线(断网机):从 Bitwarden 取助记词进环境,独立验签后签名
+PAY_SWEEP_MNEMONIC="word1 ... word24" \
+  go run ./cmd/sweep sign --cold TColdAddr... < unsigned.json > signed.json
+
+# ④ 联网:广播
+TRONGRID_API_KEY=... go run ./cmd/sweep broadcast < signed.json
+```
+
+**`sign` 独立验签(气隙安全的关键)**——对每笔交易:① 重算 txid=sha256(raw_data) 必须等于声称值
+(防 raw_data 被篡改);② 收款人+金额的 ABI 参数必须内嵌在 raw_data(防换收款人/改额);③ USDT 合约
+必须内嵌(防换币);④ 由助记词派生的地址必须等于 owner(防错钥匙)。任一不符即拒签。
+
+**gas**:TRC20 转账要 energy,收款地址身上没 TRX——归集前先给这些地址垫少量 TRX(gas 钱包),
+或用能量租赁。（垫 gas 的辅助后续加；当前 `build` 已设 `--fee-limit`。）
+
+> ⚠️ 联网上链部分(`build`/余额/`broadcast`)只在真链(Phase E)验证;纯 crypto
+> (地址解码/ABI/txid/签名可恢复)已单测。首次务必**小额**实跑一遍再放量。
 
 ## 测试