Eu tive uma ótima ideia e acho que descobri:
# lsof | grep www
sftp-serv 2490 root 3r REG 253,0 6878784186 14549364 /mnt/var/www.tar.gz (deleted)
Para mim, isso significa que o SCP ainda está acessando o arquivo e ainda tem um identificador de arquivo válido.
Para qualquer outra pessoa, o arquivo é excluído conforme indicado entre parênteses. Portanto, ninguém mais obterá um identificador de arquivo válido para esse identificador de arquivo excluído.
Agora, desde que o download do SCP foi concluído, eu pude verificar novamente:
# lsof | grep www
Observe que o resultado está vazio, o identificador de arquivo foi fechado.
No meu cliente, consegui descompactar o arquivo .tar.gz
com o 7Zip (Windows). Não se queixou de checksums quebrados ou qualquer outra coisa. Isso suporta a teoria acima.
Muito bem, Linux!