Isso pode ser causado por algum aplicativo gravando em um arquivo temporário desvinculado - esses arquivos não serão mostrados em du
output (já que eles não têm entradas em nenhum diretório), mas o aplicativo ainda pode gravar nele. vai crescer e ocupar espaço.
Você pode usar o comando lsof +L
para localizar arquivos com contagem de zero do hardlink e ver qual processo possui o arquivo. Reiniciar o processo deve liberar o espaço.
Veja esta resposta para uma explicação um pouco mais longa