Можно ли использовать регулярки для проверки $http_referer?

Но вообще, как показывает практика, после подобного финта злоумышленник просто поменяет алгоритм формирования referer. Попробуйте использовать limit_req_module.