SAMハイブのユーザー情報（F値）に含まれる、アカウントが最後にパスワード変更を行った日時を示すオフセット位置のデータは、どのような形式で記録されているか。

BitLockerが有効なデバイスで、TPMによる保護のみ（PINなし）で運用されている場合、システムがスリープ状態のときにコールドブート攻撃で暗号化キーを取得できる可能性がある理由はどれか。