Você provavelmente tem um arquivo que foi excluído, mas que está sendo mantido aberto (via fd) pelo daemon que está gravando nele. Dê uma olhada na saída de
lsof +L1
, que listará esses arquivos. Quando você conhece o arquivo, você só precisa descobrir qual daemon e, em seguida, dizer-lhe para reiniciar ou reabrir o arquivo de log.
A partir dos comentários: Descobriu-se que o OP tinha arquivos deletados em / var e não tinha reiniciado os daemons (especificamente nginx) que estavam gravando nos arquivos.