Справочник по языку

# Базовая структура: rule_name if { conditions }
deny if {
    input.usd_value > 10000
}

# Оба условия должны быть истинными для блокировки
deny if {
    input.chain == "ethereum"
    input.usd_value > 1000
}

# Любое условие вызывает блокировку
deny if {
    input.chain == "ethereum"
}
 
deny if {
    input.usd_value > 10000
}

# Блокировать если: (ethereum И высокая стоимость) ИЛИ (любая цепочка И заблокированная страна)
deny if {
    input.chain == "ethereum"
    input.usd_value > 5000
}
 
deny if {
    input.source_country in {"KP", "IR", "CU"}
}

# Константы уровня политики - определены один раз, используются везде
max_transaction_value := 50000
blocked_countries := {"KP", "IR", "CU", "SY"}
approved_senders := {"0x742d35cc...", "0xa0b86991..."}
 
deny if {
    input.usd_value > max_transaction_value
}
 
deny if {
    input.source_country in blocked_countries
}
 
deny if {
    not input.from_address in approved_senders
}

deny if {
    # Вычислить с запасом безопасности
    value_with_buffer := input.usd_value * 1.15
    value_with_buffer > 10000
}
 
deny if {
    # Оценить стоимость газа в wei
    gas_cost := to_number(input.gas_limit) * to_number(input.max_fee_per_gas)
    gas_cost > 1000000000000000000  # 1 ETH в wei
}

# Блокировать высокостоимостные транзакции в дорогих цепочках
deny if {
    input.chain == "ethereum"
    input.usd_value >= 5000
}
 
# Блокировать транзакции ниже минимальной стоимости (потенциальный спам)
deny if {
    input.usd_value != null
    input.usd_value < 1
}

# Применить буфер 10% при проверке лимитов
deny if {
    input.usd_value * 1.1 > 10000
}
 
# Блокировать, если комбинированная стоимость превышает порог
deny if {
    total := input.usd_value + 500  # Добавить оценочные комиссии
    total > 5000
}

# Разрешать только определенные цепочки (блокировать все остальное)
allowed_chains := {"polygon", "base", "arbitrum"}
 
deny if {
    not input.chain in allowed_chains
}

# Блокировать, если НЕ метод только для чтения И стоимость высокая
deny if {
    not input.rpc_method in {"eth_call", "eth_getBalance"}
    input.usd_value > 1000
}

# Определить вспомогательное правило для проверки, от доверенного источника ли запрос
is_trusted if {
    input.source_country in {"US", "GB", "DE"}
    input.source_ip in {"203.0.113.10", "203.0.113.11"}
}
 
# Определить другое вспомогательное правило для высокорисковых транзакций
is_high_risk if {
    input.usd_value > 10000
}
 
is_high_risk if {
    input.source_country in {"RU", "CN"}
}
 
# Использовать вспомогательные правила в условиях deny
deny if {
    not is_trusted
    is_high_risk
}

# Блокировать любой метод, содержащий "sign" (охватывает eth_sign, personal_sign и т.д.)
deny if {
    contains(input.rpc_method, "sign")
}
 
# Блокировать адреса, начинающиеся с известного вредоносного префикса
deny if {
    startswith(lower(input.to_address), "0x000000000000000000000000000000000000dead")
}
 
# Блокировать методы debug и admin
deny if {
    startswith(input.rpc_method, "debug_")
}
 
deny if {
    startswith(input.rpc_method, "admin_")
}

# Синтаксис массива
my_array := ["first", "second", "third"]

# Ограничить количество контрактов в одном запросе
deny if {
    count(input.contract_addresses) > 10
}
 
# Проверить, находится ли конкретный адрес в списке контрактов
deny if {
    "0xbanned..." in input.contract_addresses
}
 
# Доступ к конкретным элементам массива
deny if {
    count(input.contract_addresses) > 0
    first_contract := input.contract_addresses[0]
    startswith(first_contract, "0xdead")
}

# Синтаксис набора
my_set := {"value1", "value2", "value3"}

# Блокировать запросы из санкционированных стран
blocked_countries := {"KP", "IR", "CU", "SY", "RU"}
 
deny if {
    input.source_country in blocked_countries
}
 
# Разрешать только определенные цепочки
allowed_chains := {"polygon", "base", "arbitrum"}
 
deny if {
    not input.chain in allowed_chains
}

# Встроенный набор - хорош для простых, разовых проверок
deny if {
    input.rpc_method in {"eth_sign", "personal_sign", "eth_signTypedData"}
}
 
# Именованный набор - лучше для повторного использования и читаемости
approved_contracts := {
    "0xdac17f958d2ee523a2206206994597c13d831ec7",  # USDT
    "0xa0b86991c6218b36c1d19d4a2e9eb0ce3606eb48",  # USDC
    "0x6b175474e89094c44da98b954eedeac495271d0f"   # DAI
}
 
deny if {
    some addr in input.contract_addresses
    not addr in approved_contracts
}

# Блокировать, если ЛЮБОЙ адрес контракта находится в черном списке
blocked_contracts := {"0xbanned1...", "0xbanned2..."}
 
deny if {
    some addr in input.contract_addresses
    addr in blocked_contracts
}

# Проверить условия для конкретных позиций
deny if {
    some i, addr in input.contract_addresses
    i == 0  # Только первый контракт
    startswith(addr, "0x000")
}

# Блокировать, если любой контракт начинается с подозрительного префикса
deny if {
    some addr in input.contract_addresses
    startswith(lower(addr), "0x000000000000000000000000")
}
 
# Блокировать, если любой контракт не находится в списке одобренных
approved := {"0xusdt...", "0xusdc...", "0xdai..."}
 
deny if {
    some addr in input.contract_addresses
    not addr in approved
}

# Блокировать, только если ВСЕ контракты из подозрительного набора
# (маловероятно, что это легитимно, если каждый адрес подозрительный)
suspicious_prefixes := {"0x0000000000000000"}
 
deny if {
    count(input.contract_addresses) > 0
    every addr in input.contract_addresses {
        some prefix in suspicious_prefixes
        startswith(addr, prefix)
    }
}

# Убедиться, что все контракты из списка одобренных (обратное от some/not)
approved_contracts := {"0xusdt...", "0xusdc...", "0xdai..."}
 
# Это блокирует, если ЛЮБОЙ контракт не одобрен
deny if {
    some addr in input.contract_addresses
    not addr in approved_contracts
}
 
# Эквивалент с использованием every (блокировать, если НЕ каждый контракт одобрен)
deny if {
    count(input.contract_addresses) > 0
    not every addr in input.contract_addresses {
        addr in approved_contracts
    }
}

# Извлечь все адреса контрактов, начинающиеся с определенного префикса
matching_contracts := [addr |
    some addr in input.contract_addresses
    startswith(addr, "0xa")
]
 
deny if {
    count(matching_contracts) > 3
}

# Получить уникальные префиксы из всех адресов контрактов
contract_prefixes := {substring(addr, 0, 6) |
    some addr in input.contract_addresses
}
 
# Блокировать, если слишком много различных префиксов контрактов (подозрительно)
deny if {
    count(contract_prefixes) > 5
}

# Назначить уровень риска на основе стоимости транзакции
risk_level := "critical" if {
    input.usd_value > 100000
} else := "high" if {
    input.usd_value > 10000
} else := "medium" if {
    input.usd_value > 1000
} else := "low"
 
# Использовать вычисленный уровень риска в правилах deny
deny if {
    risk_level == "critical"
}
 
denyGasSponsor if {
    risk_level in {"high", "critical"}
}

# Различные лимиты для различных цепочек
chain_limit := 1000 if {
    input.chain == "ethereum"
} else := 5000 if {
    input.chain == "polygon"
} else := 10000
 
deny if {
    input.usd_value > chain_limit
}