Após algumas horas de investigação e várias ferramentas, finalmente encontrei a solução. Usando contas usuais e raiz, meu diretório /var/tmp estava vazio. Não /var/tmp arquivos em lsof lista, ncdu , du , find etc. Então eu apenas montei meu /dev/sda3 (ponto de montagem raiz) para outro diretório (/ mnt) e você sabe o que - /mnt/var/tmp contém todos os arquivos temporários criados pelo Timeshift por cerca de 68Gb e ncdu /mnt mostra.
Talvez isso possa ser útil para alguém que enfrentará o mesmo problema.