Está usando mecanismos expostos pela libudev.
Pesquisando no código fonte do Xorg, podemos ver em udev.c que está chamando udev_monitor_new_from_netlink
.
Depois, observando o código-fonte do udev, podemos ver em libudev-monitor.c que esta função eventualmente cria um netlink soquete .
Eu não sei de uma maneira fácil de "farejar" sockets de netlink; mas provavelmente há algum código de exemplo no udev que você pode compilar e executar para se inscrever na mesma fonte de eventos e exibir algumas informações detalhadas.
Na sua situação, eu tentaria isso:
- posso desconectar / reconectar outros dispositivos de entrada? (por exemplo, qualquer mouse ou teclado USB)
- o que eu vejo nos logs do udev quando eu desconecto / reconecto o tablet?
E, a propósito, que tipo de mensagens são spam em Xlogs?