fix: correcciones de seguridad pre-producción identificadas en code review

- autoAplicarRecarga: null-check en User::find + DB::transaction atómico
- pagarConSaldo: $cuenta->update('ocupado') dentro de la transacción (evita doble venta)
- comprarPromoConSaldo: Historiale::create movido dentro de la transacción (evita registros huérfanos)
- mostrarTransferencia: array_merge en lugar de asignación directa (preserva pending_purchase)
- Blade copiarTodo: lee valores desde x-ref del DOM en vez de escapado PHP→JS
- ValidarPagoTelegramJob: eliminado import App\Models\User no utilizado

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

app/Jobs/ValidarPagoTelegramJob.php

@@ -3,7 +3,6 @@
 namespace App\Jobs;
 
 use App\Models\SolicitudRecarga;
-use App\Models\User;
 use App\Services\PagoValidadorService;
 use App\Services\TelegramBotService;
 use Illuminate\Bus\Queueable;