> ## Documentation Index
> Fetch the complete documentation index at: https://docs.didit.me/llms.txt
> Use this file to discover all available pages before exploring further.

# 交易监控规则库：150+ 预设场景

> Didit 提供 150+ 预设 KYT 规则，涵盖结构化拆分、频率、分层、制裁、设备、加密货币、Travel Rule 及在线博彩欺诈。每月包含 1,000 次，之后每次 $0.001。

Didit 提供一套精选的**超过150条预设交易监控规则**，您可以逐条安装，也可以按套件批量安装。每条规则都对应一种真实的反洗钱、欺诈或合规类型，依据来自全球标准和监管指引，包括 FATF 建议、FinCEN 通告、NACHA 规则、Wolfsberg 原则、埃格蒙特集团类型学，以及 iGaming 滥用模式。

选择所需的预设或套件，然后控制每条已安装规则的模式（`ACTIVE`、`TEST` 或 `DISABLED`）。预设的条件、阈值和操作是固定的；如需不同的逻辑，请构建自定义规则。卸载某个预设即可将其从应用中移除，需要时可以随时重新安装。

> [!NOTE]
>
> 可以在 Business Console 的 *Transactions -> Rules -> Library* 中浏览、安装和卸载规则库规则，也可以通过[规则库 API](https://docs.didit.me/zh/management-api/transactions/rules-library.md)（`GET /v3/transactions/rules/library/`，`POST`/`DELETE /v3/transactions/rules/install/`），或通过 `didit_transaction_rule_library_list` / `didit_transaction_rule_install` / `didit_transaction_rule_uninstall` [MCP 工具](https://docs.didit.me/zh/integration/mcp/tools.md)进行操作。已安装的预设仅支持修改 `mode`（启用、禁用、测试）；其阈值是固定的，如需覆盖，请构建[自定义规则](https://docs.didit.me/zh/transaction-monitoring/rules.md#创建自定义规则)。关于规则如何影响评分，请参阅[风险评分](https://docs.didit.me/zh/transaction-monitoring/risk-scoring.md)。

> [!NOTE]
>
> 如果规则的条件所读取的数据，规则引擎尚无法评估，该规则将被**暂缓**，直到可以运行为止：规则库不会列出它，在 `library_keys` 中指定它的请求会返回 `400` 且不安装任何内容（若指定的是未知键，则会跳过该键），`bundle` 安装也会跳过它。您此前已安装的副本会被关闭（`DISABLED`），并保留在您的规则列表中，将其 `mode` 设置为其他任何值都会返回 `400`。当规则引擎能够评估其条件后，被暂缓的规则会自动恢复，因此规则库列表始终只显示您当前可以安装的规则。

## 预设的组织方式

每个预设都属于一个**套件**（其功能类别）和一个**类别**（其更宽泛的风险主题）。套件让您可以在控制台中一起切换相关规则；类别则用于评分和报表。

| 套件 | 涵盖内容 |
| - | - |
| `finance` | 拆分交易、大额交易、累计交易量、国家/地区分布、分层交易、骡子账户汇入、小额分散转移 |
| `aml_ctf` | 制裁、可疑付款备注、整数金额分层、快进快出 |
| `aml_monitoring` | 区块链衍生的高风险资金来源暴露、恐怖主义融资、儿童剥削 |
| `anomaly_detection` | 高频交易、休眠账户重新激活、非常规时段活动 |
| `fatf` | 高风险司法管辖区暴露 |
| `device_intelligence` | 设备指纹复用、多指纹账户、IP/浏览器异常、VPN/代理、不可能的旅行 |
| `fraud_prevention_multi_accounting` | 不同主体之间共享指纹 |
| `fraud_prevention_app` | 授权推送支付（APP）/ 首次收款人 / 诈骗受害者信号 |
| `fraud_prevention_ato` | 账户接管复合信号（个人身份信息变更、新增支付方式） |
| `fraud_prevention_consortium` | 共享网络中被其他机构标记的交易对手 |
| `crypto_monitoring` | 混币器/暗网/受制裁钱包暴露、跨链跳转、非托管钱包、VASP 缺口 |
| `travel_rule` | 全球及区域 Travel Rule 义务（12 套制度）以及交易对手 VASP 尽职调查 |
| `travel_rule_eu_tfr` | 欧盟 TFR 检查：交易对手数据不符、未经验证的钱包所有权、未识别的交易对手 VASP、已过期的确认 |
| `responsible_gaming` | 更安全的游戏存款/取款限额、自我排除、非常规时段游戏 |
| `igaming_fraud` | 赛事原生奖金滥用、对冲下注、联盟营销欺诈、聊天室红包雨刷取、筹码转移、账户接管 |
| `e_commerce` | 卡片测试小额交易、拒付指标、账单国家/地区不匹配、联盟营销活动突增 |
| `check_fraud` | 号码超范围、缺号、重复提交、暗网观察名单、洗白支票、支票空转 |
| `bnpl` | 还款失败型第一方欺诈、BNPL 账户间共享标识符、新账户分期 |

## 如何阅读本页

每条规则都列出其 `library_key`（稳定标识符，可在 API 或控制台 URL 中引用）、触发该规则的条件与聚合方式，以及默认操作。此处显示的数值阈值为出厂默认值，每个值都可以按应用单独编辑，且不影响规则的标识。

***

## 金融类规则包

这些规则适用于每一笔 `transaction_type = FINANCE` 的交易。它们以监管基线为依据（BSA/FinCEN 申报阈值、FATF 资金流速启发式规则），并覆盖资金骡和化整为零的模式。

### 拆分交易与接近阈值

| `library_key` | 触发条件 | 默认操作 |
| - | - | - |
| `structuring-inbound` | 同一主体在 30 天内有 ≥20 笔低于 \$10,000 的转入交易 | +35 分 |
| `structuring-outbound` | 同一主体在 30 天内有 ≥20 笔低于 \$10,000 的转出交易 | +35 分 |
| `single-transaction-just-below-threshold` | 单笔交易金额介于 $9,000 与 $9,999 之间 | +25 分 |
| `round-amount-layering` | 转账金额等于可疑的整数金额（$10k、$25k、$50k、$100k、$250k、$500k、\$1M…） | +20 分 |

### 交易量与频率

| `library_key` | 触发条件 | 默认操作 |
| - | - | - |
| `large-single-transaction` | 单笔交易金额 ≥ \$25,000 | +50 分，`IN_REVIEW` |
| `cumulative-outbound-volume` | 30 天内转出总额 ≥ \$100,000 | +45 分，`IN_REVIEW` |
| `cumulative-inbound-volume-90d` | 90 天内转入总额 ≥ \$200,000 | +30 分，`IN_REVIEW` |
| `cumulative-outbound-volume-7d` | 7 天内转出总额 ≥ \$50,000 | +30 分，`IN_REVIEW` |
| `business-4h-inbound-volume` | 企业在任意 4 小时窗口内的转入总额 ≥ \$30,000 | +30 分，`IN_REVIEW` |
| `business-4h-outbound-volume` | 企业在任意 4 小时窗口内的转出总额 ≥ \$30,000 | +30 分，`IN_REVIEW` |
| `high-velocity-inbound` | 7 天内有 ≥20 笔转入交易 | +25 分 |
| `high-velocity-outbound` | 7 天内有 ≥20 笔转出交易 | +25 分 |

### 分层转移、资金骡与化整为零

| `library_key` | 触发条件 | 默认操作 |
| - | - | - |
| `rapid-in-and-out-movement` | 转出交易发生在转入交易之后的 6 小时内 | +60 分，`IN_REVIEW` |
| `cash-deposit-followed-by-withdrawal` | 72 小时内现金存款总额 ≥ \$50,000，随后发生现金取款 | +30 分，`IN_REVIEW` |
| `money-mule-fan-in-to-counterparty` | 某交易对手在 7 天内收到来自 ≥5 个不同主体的转账 | +30 分，`IN_REVIEW` |
| `rapid-repeated-payments-same-counterparty` | 24 小时内向同一交易对手发生 ≥5 笔转出交易 | +30 分，`IN_REVIEW` |
| `cross-border-small-amount-velocity` | 主体在 24 小时内向 ≥4 个不同交易对手所在国家/地区转出金额低于 \$1,000 的款项 | +30 分，`IN_REVIEW` |
| `high-risk-jurisdiction-smurfing` | 7 天内向同一高风险国家/地区发生 ≥5 笔金额低于 \$1,000 的转出交易 | +30 分，`IN_REVIEW` |
| `many-unique-counterparties-24h` | 主体在 24 小时内与 ≥6 个不同交易对手发生交易 | +30 分，`IN_REVIEW` |
| `many-unique-payment-methods-7d` | 主体在 7 天内轮换使用 ≥4 种不同的支付方式 | +30 分，`IN_REVIEW` |
| `counterparty-country-spread-24h` | 主体在 24 小时内与 ≥4 个不同交易对手所在国家/地区发生交易 | +30 分，`IN_REVIEW` |

### 行为异常

| `library_key` | 触发条件 | 默认操作 |
| - | - | - |
| `dormant-account-reactivation` | 经过 ≥365 天不活跃后的首笔交易金额 ≥ \$1,000 | +20 分 |
| `off-hours-high-value-finance` | 高价值转账（≥ \$5,000）被标记为该主体所在地区的非工作时段 | +25 分 |

***

## AML / CTF 规则包

这些规则涵盖经典的 AML/CTF 类型，不依赖区块链数据增强，适用于法币转账和加密货币转账。

| `library_key` | 触发条件 | 默认操作 |
| - | - | - |
| `sanctions-counterparty` | 被筛查的钱包本身归属于受制裁实体（`wallet_sanctioned`）。仅与受制裁实体有往来不会触发此规则 | +90 分，`DECLINED` |
| `sanctions-exposure-review` | 被筛查的钱包本身未受制裁，但其资金曾流向受制裁实体或来自受制裁实体 | +50 分，`IN_REVIEW` |
| `suspicious-payment-reference` | 付款备注包含与非法所得相关的关键词 | +45 分，`IN_REVIEW` |
| `high-risk-jurisdiction-exposure` | 交易对手所在国家/地区或主体 IP 所在国家/地区位于高风险名单上 | +40 分，`IN_REVIEW` |
| `high-risk-inbound-single` | 来自高风险国家/地区的单笔转入金额 ≥ \$20,000 | +30 分，`IN_REVIEW` |
| `high-risk-outbound-single` | 转往高风险国家/地区的单笔转出金额 ≥ \$20,000 | +30 分，`IN_REVIEW` |

默认的高风险司法辖区名单包含 FATF 行动呼吁名单及冲突地区，即：`IRN`、`PRK`、`SYR`、`AFG`、`RUS`、`MMR`。您可以按应用覆盖此名单。

> [!NOTE]
>
> **当前不提供政治公众人物（PEP）交易对手筛查支持。** 目前没有任何已接入的筛查服务商会报告交易对手是否为政治公众人物：截至目前，每个筛查结果中的 `pep_counterparty` 字段都为 `null`（参见[钱包筛查](https://docs.didit.me/zh/transaction-monitoring/wallet-screening.md#响应)），因此规则库不包含 PEP 交易对手预设。在该预设下架之前安装的规则会继续评估，但无法匹配到真实的筛查结果。如需针对其他信号采取行动，请删除该规则，或改用自定义规则替换它。

***

## 加密货币筛查规则包

这些规则使用 Didit 加密货币筛查生成的增强数据，最适用于加密原生应用和 VASP 应用。

| `library_key` | 触发条件 | 默认操作 |
| - | - | - |
| `aml-high-risk-source-exposure` | 至少 30% 的资金来自受制裁、暗网、被盗、勒索软件或诈骗类别 | +70 分，`IN_REVIEW` |
| `aml-multiple-risky-counterparties` | 资金来源关系图中与高风险实体有 ≥3 个关联 | +50 分，`IN_REVIEW` |
| `aml-terrorist-financing-exposure` | 钱包存在任何恐怖主义融资关联 | +100 分，`DECLINED` |
| `aml-child-exploitation-exposure` | 钱包存在任何儿童剥削材料关联 | +100 分，`DECLINED` |
| `aml-wallet-risk-score-medium` | 服务商钱包风险评分介于 40 与 70 之间 | +30 分 |

***

## 加密货币监控套件

钱包层面的风险暴露规则，以及与 VASP 和 Travel Rule 相关的完整性检查。

| `library_key` | 触发条件 | 默认操作 |
| - | - | - |
| `crypto-mixer-exposure` | 钱包关联混币器或混淆服务 | +80 分，`IN_REVIEW` |
| `crypto-darknet_market-exposure` | 钱包与暗网市场存在风险关联 | +80 分，`IN_REVIEW` |
| `crypto-sanctioned-exposure` | 钱包与受制裁方存在风险关联 | +90 分，`IN_REVIEW` |
| `crypto-stolen_funds-exposure` | 钱包与被盗资金存在风险关联 | +85 分，`IN_REVIEW` |
| `crypto-scam-exposure` | 钱包与诈骗存在风险关联 | +70 分，`IN_REVIEW` |
| `crypto-ransomware-exposure` | 钱包与勒索软件存在风险关联 | +90 分，`IN_REVIEW` |
| `crypto-hacked_exchange-exposure` | 钱包与被黑交易所存在风险关联 | +80 分，`IN_REVIEW` |
| `crypto-gambling_unlicensed-exposure` | 钱包与无牌赌博存在风险关联 | +60 分，`IN_REVIEW` |
| `high-risk-wallet-exposure` | 钱包风险属于暗网市场、受制裁实体或被盗资金类别 | +70 分，`IN_REVIEW` |
| `crypto-wallet-risk-score-critical` | 服务商钱包评分 ≥ 90 | +90 分，`IN_REVIEW` |
| `crypto-wallet-risk-score-high` | 服务商钱包评分 ≥ 70 | +60 分，`IN_REVIEW` |
| `crypto-unhosted-wallet-large-outbound` | 向自托管钱包转出金额 ≥ \$1,000 | +45 分，`IN_REVIEW` |
| `crypto-repeated-unhosted-wallet-withdrawals` | 24 小时内向自托管钱包的转出笔数 ≥5 | +35 分，`IN_REVIEW` |
| `crypto-many-new-wallets-per-subject` | 主体在 24 小时内向 ≥5 个不同钱包转账 | +40 分，`IN_REVIEW` |
| `crypto-chain-hopping-pattern` | 同一主体在 24 小时内跨 ≥3 条区块链转移资金 | +45 分，`IN_REVIEW` |
| `crypto-missing-vasp-id-high-value` | 托管钱包转账金额 ≥ \$1,000 且缺少 VASP 标识符 | +30 分，`IN_REVIEW` |

***

## Travel Rule 套件

Travel Rule 规则仅适用于 `travelRule` 交易。
每个地区监管制度各附带四条规则（待交易对手处理、待操作、数据缺失、交换失败）。

### 全球 Travel Rule

| `library_key` | 触发条件 | 默认操作 |
| - | - | - |
| `travel-rule-pending-counterparty` | 状态为 `AWAITING_COUNTERPARTY`（等待交易对手 VASP 处理） | +35 分，`IN_REVIEW` |
| `travel-rule-pending-action` | 状态为 `ON_HOLD`（在受管交易所中，入账转账等待您处理：未匹配到钱包地址簿，或查询等待人工审批） | +35 分，`AWAITING_USER` |
| `travel-rule-missing-required-data` | `travel_rule_required` 为 `true` 且 `travel_rule_obligations_count` 大于 `0`；只有您自行记录在 `travel_rule_details` 中的 Travel Rule 数据才会带有义务数量，因此该规则绝不会在受管交易所执行的转账上触发 | +50 分，`IN_REVIEW` |

### 地区监管制度

同一套四条规则模板适用于每个监管制度。将下方的 `<regime>` 替换为以下任一值：`australia`、`dubai`、`eu`、`hong_kong`、`india`、`indonesia`、`japan`、`kazakhstan`、`singapore`、`south_africa`、`turkey`、`uk`。

监管制度标记为自动完成：Didit 会根据您在 [Travel Rule 设置](https://docs.didit.me/zh/transaction-monitoring/travel-rule.md#设置) 中的 `jurisdiction`，为每笔 Travel Rule 交易在 `custom_values.travel_rule_regime` 中写入标记：`SG` → `singapore`，`GB` → `uk`，任何欧盟或欧洲经济区成员国代码（如 `DE` 或 `FR`）→ `eu`。没有地区套件的代码会以小写形式写入（`US` → `us`），因此自定义规则仍可针对它们设置。在交易中提交的 `props.travel_rule_regime` 值始终覆盖推导出的监管制度。

| `library_key` 模板 | 触发条件 |
| - | - |
| `travel-rule-<regime>-pending-counterparty` | 带有监管制度标记的转账等待交易对手 VASP 处理 |
| `travel-rule-<regime>-pending-action` | 带有监管制度标记的转账状态为 `ON_HOLD` |
| `travel-rule-<regime>-missing-required-data` | 带有监管制度标记的转账需要 Travel Rule 数据但尚未解决 |
| `travel-rule-<regime>-failed-exchange` | 带有监管制度标记的转账状态为 `CANCELLED` |

除上述三条全球 Travel Rule 规则和下方五条交易对手规则外，另有 48 条地区专属规则。
单独的 `travel_rule_eu_tfr` 套件另外提供四条 EU TFR 规则，详见 [EU TFR 规则套件](https://docs.didit.me/zh/transaction-monitoring/travel-rule.md#eu-tfr-规则包)。

### 交易对手尽职调查

这些规则读取您的应用掌握的、交易所联系到的交易对手 VASP 的信息：您对其作出的决定、其尽职调查风险等级、所在国家/地区及其响应情况。
各项数值的来源详见 [交易对手尽职调查](https://docs.didit.me/zh/transaction-monitoring/travel-rule.md#交易对手尽职调查)。

| `library_key` | 触发条件 | 默认操作 |
| - | - | - |
| `travel-rule-counterparty-blocked` | 您对交易对手的决定（`counterparty_dd_status`）为 `BLOCKED` | +90 分，`DECLINED` |
| `travel-rule-counterparty-restricted` | 您对交易对手的决定为 `RESTRICTED` | +50 分，`IN_REVIEW` |
| `travel-rule-counterparty-high-risk` | 交易对手风险等级（`counterparty_risk_level`）为 `HIGH`：尽职调查评分低于 40，或您近期进行的交易对手筛查发现可能的制裁或负面新闻匹配 | +40 分，`IN_REVIEW` |
| `travel-rule-counterparty-high-risk-jurisdiction` | 交易对手设立于默认高风险名单中的国家/地区（`IRN`、`PRK`、`SYR`、`AFG`、`RUS`、`MMR`） | +60 分，`IN_REVIEW` |
| `travel-rule-counterparty-unresponsive` | 在过去 90 天内，交易对手仅响应了 Didit 客户向其发送的 Travel Rule 请求中不到百分之十的请求，且其中至少 5 个请求已作出决定 | +30 分，`IN_REVIEW` |

***

## 设备情报与欺诈防范

这些规则将客户端 SDK（设备指纹、IP、浏览器、会话已持续时间）以及服务商补充信息中的信号，转化为欺诈检测事件。

### 设备指纹与多账户

| `library_key` | 触发条件 | 默认操作 |
| - | - | - |
| `multi-accounting-shared-fingerprint` | 同一设备指纹在 7 天内被 ≥3 个不同主体使用 | 风险评分 +50，`IN_REVIEW` |
| `multiple-device-fingerprints-for-same-subject` | 同一主体在 24 小时内出现在 ≥3 个不同设备指纹上 | 风险评分 +20 |
| `same-fingerprint-transaction-burst` | 同一设备指纹在 24 小时内发起 ≥6 笔交易 | 风险评分 +30 |
| `same-ip-multi-accounting` | 同一地址在 7 天内被 ≥3 个不同主体共用 | 风险评分 +30 |
| `same-ip-transaction-burst` | 同一地址在 24 小时内发起 ≥6 笔交易 | 风险评分 +30 |
| `same-fingerprint-multiple-payment-methods` | 同一设备指纹在 7 天内轮换使用 ≥4 种支付方式 | 风险评分 +30 |
| `shared-payment-method-across-subjects` | 同一支付方式在 7 天内被 ≥3 个不同主体复用 | 风险评分 +30 |
| `many-ip-addresses-per-subject` | 主体在 24 小时内使用 ≥4 个不同地址 | 风险评分 +30 |
| `new-browser-and-new-ip-combination` | 主体在 24 小时内同时出现 ≥3 个不同浏览器和 ≥3 个不同 IP 地址 | 风险评分 +30 |

### IP、网络与 VPN

| `library_key` | 触发条件 | 默认操作 |
| - | - | - |
| `vpn-or-proxy-high-value` | 金额 ≥ \$5,000 的转账中检测到 VPN 或代理 | 风险评分 +30 |
| `impossible-travel-between-transactions` | 主体在 1 小时内从 ≥2 个不同 IP 所在国家/地区发起交易 | 风险评分 +30 |

### 行为复合规则

| `library_key` | 触发条件 | 默认操作 |
| - | - | - |
| `browser-spoofing-password-reuse` | 检测到浏览器欺骗攻击，且 30 分钟内 ≥2 笔交易复用同一密码哈希 | 风险评分 +30 |
| `remote-access-high-value-transfer` | 金额 ≥ \$5,000 的转账中检测到远程访问工具 | 风险评分 +30 |
| `low-session-age-high-value-transfer` | 会话开始后 30 秒内发生金额 ≥ \$5,000 的转账 | 风险评分 +30 |
| `synthetic-identity-fresh-account-high-value` | 7 天内开立的账户发生金额 ≥ \$1,000 的交易 | 风险评分 +30 |

### 账户接管与 APP 欺诈

| `library_key` | 触发条件 | 默认操作 |
| - | - | - |
| `recent-pii-change-and-transaction` | 在个人身份信息变更的近期窗口内发生金额 ≥ \$1,000 的转账 | 风险评分 +45，`IN_REVIEW` |
| `new-payment-method-high-value` | 使用 7 天内添加的支付方式发生金额 ≥ \$5,000 的转账 | 风险评分 +30 |
| `first-time-payee-high-value` | 向主体此前从未付款的交易对手转出 ≥ \$5,000 | 风险评分 +40，`IN_REVIEW` |
| `consortium-flagged-counterparty` | 向被其他机构举报的交易对手转账，金额 ≥ \$500 | 风险评分 +60，`IN_REVIEW` |

### 联盟推广与奖励滥用

| `library_key` | 触发条件 | 默认操作 |
| - | - | - |
| `repeated-bonus-campaign-from-same-fingerprint` | 同一活动与同一设备指纹在 2 小时内发生 ≥6 笔交易 | 风险评分 +35 |
| `shared-fingerprint-across-bonus-campaigns` | 同一设备指纹在 7 天内领取 ≥3 个不同活动 | 风险评分 +30 |
| `affiliate-fraud-repeated-fingerprint` | 同一联盟推广方与同一设备指纹在 2 小时内发生 ≥5 笔交易 | 风险评分 +30 |

***

## 责任博彩套件

适用于 iGaming 应用。这些规则旨在同时检测玩家保护信号和奖励套利模式。

| `library_key` | 触发条件 | 默认操作 |
| - | - | - |
| `responsible-gaming-rapid-deposits` | 24 小时内同一操作的入账交易 ≥10 笔 | 风险评分 +20 |
| `responsible-gaming-rapid-withdrawals` | 24 小时内同一操作的出账交易 ≥8 笔 | 风险评分 +20 |
| `responsible-gaming-cumulative-deposits-7d` | 7 天内入账总额 ≥ \$5,000 | 风险评分 +20 |
| `responsible-gaming-cumulative-withdrawals-7d` | 7 天内出账总额 ≥ \$5,000 | 风险评分 +20 |
| `responsible-gaming-self-excluded-activity` | 来自自我排除账户的任何交易 | 风险评分 +20 |
| `responsible-gaming-loss-limit-hit` | 触发损失限额信号后仍有活动 | 风险评分 +20 |
| `responsible-gaming-bonus-hunting` | 24 小时内同一活动且同一设备指纹的交易 ≥4 笔 | 风险评分 +20 |
| `responsible-gaming-multiple-payment-methods` | 7 天内使用 ≥4 种不同支付方式 | 风险评分 +20 |
| `responsible-gaming-off-hours-high-value` | 标记为非营业时段的游戏活动，金额 ≥ \$1,000 | 风险评分 +20 |
| `responsible-gaming-failed-withdrawals` | 提现失败尝试 ≥3 次 | 风险评分 +20 |
| `responsible-gaming-many-counterparties` | 24 小时内有 ≥5 个不同的交易对手 | 风险评分 +20 |

***

## iGaming 欺诈套件

适用于同时发送监控事件和资金流动数据的运营商。这些规则使用 `scope.record_types = ["event"]`，因此仅使用交易数据的客户不会有任何行为变化。若存在仅交易回退规则，请在您的集成发送事件类别之前，同时安装对应的回退规则。

| `library_key` | 触发条件 | 默认操作 | 仅交易回退规则 |
| - | - | - | - |
| `igaming-account-takeover-drain` | 3+ 次失败登录，随后修改 MFA，随后修改提现地址，最后发起提现，须按此顺序，且在 24 小时内完成 | +90 分，`DECLINED` | `recent-pii-change-and-transaction`，`new-payment-method-high-value` |
| `igaming-minimal-play-laundering` | 提现请求金额 ≥ \$1,000，且该账户在前 24 小时内的投注总额 ≤ 其已完成存款的 5% | +60 分，`IN_REVIEW` | `rapid-in-and-out-movement` |
| `igaming-chargeback-deposit-ratio` | 已发起的拒付在 30 天内达到已完成存款的至少 50% | +80 分，`DECLINED` | `ecommerce-chargeback-indicator` |
| `igaming-chip-dumping-pair-net-winner` | 同一 P2P 对手组合在 7 天内至少结算 2 次不同的手牌、局或比赛，**并且**其中一方的净输赢总额 ≥ \$400 | +70 分，`IN_REVIEW` | 需要事件 |
| `igaming-opposite-betting-same-market` | 同一场比赛、同一盘口的双方，均由共享同一设备指纹的 2+ 个不同账户下注，且在 1 小时内 | +65 分，`IN_REVIEW` | 需要事件 |
| `igaming-bot-rta-cadence` | `session.bot_signal_observed` 报告的机器人分数 ≥ 90，且时序方差 ≤ 10ms | +55 分，`IN_REVIEW` | 需要事件 |
| `igaming-self-exclusion-evasion` | 在重新注册尝试中命中自我排除登记库，且 `exclusion_status: active` | +100 分，`DECLINED` | `responsible-gaming-self-excluded-activity` |
| `igaming-chat-rain-farming` | 同一账户在 24 小时内第二次领取**同一**聊天雨奖金，且领取间隔在 500ms 内 | +45 分，`IN_REVIEW` | `responsible-gaming-bonus-hunting` |
| `igaming-repeated-bonus-claims-one-device` | 同一设备指纹在 7 天内第三次领取**同一**奖金 | +50 分，`IN_REVIEW` | `repeated-bonus-campaign-from-same-fingerprint`，`shared-fingerprint-across-bonus-campaigns`，`responsible-gaming-bonus-hunting` |
| `igaming-affiliate-self-referral` | 归因到某联盟推广码，而该推广码在 7 天内已被同一设备指纹下的 3+ 个不同账户使用 | +50 分，`IN_REVIEW` | `affiliate-fraud-repeated-fingerprint` |
| `igaming-multi-accounting-device` | 使用在 24 小时内已被 3+ 个不同账户使用的设备指纹进行登录或注册 | +60 分，`IN_REVIEW` | `multi-accounting-shared-fingerprint` |
| `igaming-shared-proxy-ip` | 登录来自 24 小时内已被 3+ 个不同账户使用的 IP 地址 | +40 分，`IN_REVIEW` | `same-ip-multi-accounting` |

### 每条规则所需的事件信号

上述每条规则都会读取指定的事件字段。若缺少某个必需字段，该规则将不匹配，它绝不会用其他信号进行近似推断，也不会仅凭交易数据进行回退。请在事件 `payload` 和 `device_context` 中发送下列键名（完整的提交约定见[事件](https://docs.didit.me/zh/transaction-monitoring/events.md)，规则字段路径见[事件规则](https://docs.didit.me/zh/transaction-monitoring/event-rules.md)）。

| `library_key` | 读取的事件操作 | 规则所需字段 |
| - | - | - |
| `igaming-account-takeover-drain` | `security.login_failed`，`security.mfa_changed`，`payment.withdrawal_address_changed`，`payment.withdrawal_requested` | `changed_field`，`withdrawal_address_hash`，以及标准支付键名 |
| `igaming-minimal-play-laundering` | `payment.withdrawal_requested`，`gameplay.bet_placed`，`payment.deposit_completed` | 以上每个事件都必须包含 `amount` |
| `igaming-chargeback-deposit-ratio` | `dispute.chargeback_opened`，`payment.deposit_completed` | `payment_reference_id`，以及 `dispute_id` 或 `chargeback_id` |
| `igaming-chip-dumping-pair-net-winner` | `gameplay.p2p_settlement` | `counterparty_vendor_data`，`net_result_amount`，以及 `hand_id` / `round_id` / `match_id` 之一 |
| `igaming-opposite-betting-same-market` | `gameplay.bet_placed` | `match_id`，`market_id`，`side`，`device_context.fingerprint` |
| `igaming-bot-rta-cadence` | `session.bot_signal_observed` | `device_context.bot_score`，`timing_variance_ms` |
| `igaming-self-exclusion-evasion` | `responsible_gambling.self_exclusion_match` | `exclusion_status`，`re_registration_attempt`，以及必需的 `registry_source` 和 `identity_match_ref` |
| `igaming-chat-rain-farming` | `bonus.bonus_claimed` | `bonus_id`，`bonus_type`，`claim_delay_ms` |
| `igaming-repeated-bonus-claims-one-device` | `bonus.bonus_claimed` | `bonus_id`，`device_context.fingerprint` |
| `igaming-affiliate-self-referral` | `affiliate.affiliate_attributed` | `affiliate_code`，`device_context.fingerprint` |
| `igaming-multi-accounting-device` | `security.login_succeeded`，或自定义的 `security.registration_attempt` | `device_context.fingerprint` |
| `igaming-shared-proxy-ip` | `security.login_succeeded` | `device_context.network_context.ip_address` |

当您的集成会发出登录、游戏玩法、奖金、联盟、支付、争议、安全和责任博彩相关事件时，请使用 `igaming_fraud` 套件。这些规则需要主动启用：将其加入规则库不会为现有应用安装这些规则，也不会改变任何现有客户当前的预设。

***

## 电子商务套件

适用于电商平台和商户记录方应用。

| `library_key` | 触发条件 | 默认操作 |
| - | - | - |
| `ecommerce-card-testing-microtransactions` | 1 小时内，同一指纹发起 ≥10 笔 ≤ \$5 的交易 | +30 分 |
| `ecommerce-high-order-velocity` | 30 分钟内，同一指纹发起 ≥8 笔交易 | +30 分 |
| `ecommerce-chargeback-indicator` | 服务商或工作流已标记拒付指标 | +30 分 |
| `ecommerce-billing-country-mismatch` | 金额 ≥ \$500 的交易存在账单国家/地区不一致 | +30 分 |
| `ecommerce-shared-payment-method` | 7 天内，同一支付方式被 ≥3 个电商主体复用 | +30 分 |
| `ecommerce-shared-ip-multi-accounting` | 24 小时内，同一 IP 被 ≥4 个电商主体共享 | +30 分 |
| `ecommerce-remote-checkout-high-value` | 金额 ≥ \$1,000 的结账过程中检测到远程访问 | +30 分 |
| `ecommerce-affiliate-burst` | 2 小时内，同一联盟推广方和同一指纹发起 ≥5 笔交易 | +30 分 |

***

## 支票欺诈套件

适用于提交支票存款交易的应用。每条规则由调用方在支票带有已知风险信号时（如洗票、缺失 MICR、序列号列于暗网等）设置的 `custom_values.check_*` 标记触发。

| `library_key` | 触发条件 | 默认操作 |
| - | - | - |
| `check-amount-out-of-range` | 支票金额被标记为超出账户常规范围，且 ≥ \$1,000 | +40 分，`IN_REVIEW` |
| `check-missing-or-invalid-number` | 支票号码缺失、不一致或不连续 | +35 分，`IN_REVIEW` |
| `check-duplicate-presentation` | 同一支票似乎被存入两次（移动端和网点各一次） | +70 分，`IN_REVIEW` |
| `check-on-dark-web-watchlist` | 支票序列号或影像在暗网或 Telegram 失窃支票数据源中被发现 | +90 分，`DECLINED` |
| `check-altered-or-washed` | 支票显示化学擦除、MICR 篡改或其他洗票证据 | +70 分，`IN_REVIEW` |
| `check-deposit-rapid-multi-bank` | 同一主体在 24 小时内向 ≥3 家不同的交易对手银行存入支票（空转套现） | +45 分，`IN_REVIEW` |

***

## BNPL 套件

适用于先买后付（BNPL）服务商。针对分期借贷，识别第一方欺诈（不还款）和标识符共享模式。

| `library_key` | 触发条件 | 默认操作 |
| - | - | - |
| `bnpl-failed-repayment-velocity` | 主体近期有 ≥2 次还款失败，属于第一方欺诈信号 | +45 分，`IN_REVIEW` |
| `bnpl-shared-identifier-across-accounts` | 手机号、邮箱或地址在多个不同的 BNPL 主体中出现 | +40 分，`IN_REVIEW` |
| `bnpl-high-installment-on-fresh-account` | 账户在过去 7 天内开立，且分期金额 ≥ \$500 | +35 分 |

***

## 参考：库背后的标准

Didit 库中的每个预设都对应一种广泛认可的 AML、欺诈或合规类型。我们主要参考以下标准：

| 来源 | 为库贡献的类型 |
| - | - |
| **FATF 建议** | 拆分交易、资金快速转移、高风险司法辖区暴露、交易对手制裁筛查 |
| **FinCEN 公告** | BSA / CTR 报告阈值、休眠账户重新激活、可疑现金交易模式 |
| **NACHA 规则** | ACH 专属阈值和非营业时间交易模式 |
| **Wolfsberg 原则** | 代理行银行业务和私人银行业务类型 |
| **Egmont Group 类型学** | 跨境和分层交易模式 |
| **行业最佳实践** | 速率窗口划分、不可能旅行模式、首次收款人、设备指纹复用、BNPL 第一方欺诈信号 |

Didit 仅实施已被行业标准接受的类型，并开放每个阈值供您调整。

***

## 自定义预设

每个预设都可以：

* **调优**：按应用修改阈值、时间窗口、分值或操作
* **禁用**：将预设切换为 `DISABLED` 模式，它将停止评估，但保留其标识
* **测试**：将预设切换为 `TEST` 模式，在影子模式下进行评估，不影响交易结果
* **扩展**：创建自定义规则，用于补充或覆盖预设

有关规则结构、API endpoint 以及创建自定义规则的实例，请参阅 [规则与评分](https://docs.didit.me/zh/transaction-monitoring/rules.md)。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.