Multiple hardware wallets: per-wallet devices, wallets page, Poinbase custodial account, PLEDGER item with supply-chain poisoning

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

CHANGELOG.md

@@ -10,6 +10,11 @@
 - DEX 兑换改成合约调用：在终端点买入 / 卖出后钱包弹出签名请求，按住 ✓ 签名后才成交，× 拒绝。Poinbase 是托管账户，仍直接成交。
 - 签名后的动画：签名中 → 已广播（内存池）→ 打包进区块 #N → 确认 1/3、2/3、3/3，约 5 秒，可跳过；窗口关着也会走完。区块高度存档。
 - 游戏内验证：DEX 10 CRT 兑 PSC（签名 → 确认 → CRT 4000 → 3990）；黑市现货手枪：输错末位被校验位拦下，改对后付 156 CRT，库存 3 → 2，货进储藏区，污点按比例减少；向 0x12345699 转 1 CRT，提示转不回来，余额减 1；Ponero 兑换 10 PSC 得 18.8 Ponero，当天额度用完。没有在游戏里验证：混币器账单（测试存档没解锁混币器）、商家订单、上架 / 改价费账单（代码路径和现货相同）。
+- 多钱包：每个硬件钱包的余额、污点、成本、冻结各算各的。终端新增"钱包"页：列出全部钱包（名称、地址、估值、污点），"打开"弹出这个钱包自己的 PLEDGER 窗口（几台可以同时开），"连接"设为当前钱包。Web3 页的交易、黑市、混币器用当前钱包；用币付款的顾客、挖矿收益进当前钱包；订单退款、出售回款、混币提回回到当初付款的钱包。账单可以用任何一台钱包付。钱包之间转账走签名，污点按比例跟着走。
+- Poinbase 拆成托管账户：银行存入进 Poinbase，出金审查只看 Poinbase 账户的污点；Poinbase 页"提到当前钱包"直接转，不用签名；钱包充值要转到 Poinbase 的充值地址（页面上显示），只收 CRC 和 PSC。
+- PLEDGER 硬件钱包（物品）：和游戏的升级材料一样，拖到交易终端上用掉，钱包 +1，最多 5 个。杰克逊博士进货时（钱包没满）50% 上一个，价值 240，正品；Web3 黑市平台现货每周 50% 上 1–2 个，150–180，其中 20% 被投毒。外观和说明完全一样。被投毒的钱包币的总价值到 3000 起，每晚有概率被转空（1/7 起，按价值线性升到 20000 时当晚必转），晨间日志只写"钱包 n：币被转走了"。
+- 存档不兼容旧版：链上的币归到新建的主钱包，Poinbase 账户从 0 开始。
+- 游戏内验证（多钱包）：两件硬件钱包（一正一投毒）作用于终端，钱包页出现钱包 2、钱包 3，标记看不出来；同时打开两台 PLEDGER；主钱包向钱包 3 转 100 PSC，核对页显示"自己的钱包：钱包 3"，污点 5000 按 10000/16000 带走 3125；过一夜钱包 3 被转空（约 9393），晨间日志有记录；银行存入 500 进 Poinbase，提 200 CRC 到主钱包，再从主钱包向充值地址转 100 CRC，Poinbase 300 → 400，带过去污点 31。商城平台现货出现硬件钱包（158）。没有在游戏里验证：用鼠标拖拽（用探查通道执行了同一个"物品作用于物品"接口）、杰克逊柜台上的钱包和它的标价、Poinbase 空账户和"账户污点比例"两处改字（已编译，没重进游戏看）。
 
 ### 第四阶段：Web3 黑市与 Ponero（进行中）