Isso pode ser causado por algum aplicativo gravando em um arquivo temporário desvinculado - esses arquivos não serão mostrados em du output (já que eles não têm entradas em nenhum diretório), mas o aplicativo ainda pode gravar nele. vai crescer e ocupar espaço.
Você pode usar o comando lsof +L para localizar arquivos com contagem de zero do hardlink e ver qual processo possui o arquivo. Reiniciar o processo deve liberar o espaço.
Veja esta resposta para uma explicação um pouco mais longa