duas coisas,
1.) executar algo assim para ver onde dentro / var especificamente
[root@log ~]# find /var -type d -exec du -s {} \; | sort -nr | head
1161916 /var
1046368 /var/log
98196 /var/cache
97796 /var/cache/yum
31468 /var/cache/yum/core-0
29204 /var/cache/yum/epel
28760 /var/cache/yum/base
16948 /var/lib
16012 /var/lib/rpm
5864 /var/cache/yum/updates
2.) Verifique se você não tem muitos arquivos grandes excluídos que ainda possuem um identificador de arquivo aberto para eles de alguma coisa. esta é freqüentemente a causa das discrepâncias entre du e df.
[root@log ~]# lsof | grep deleted
syslogd 2728 root 7w REG 253,0 811129687 688393 /var/log/rsyncd.log.1 (deleted)
tail 30912 root 0u CHR 136,1 3 /dev/pts/1 (deleted)
tail 30912 root 1u CHR 136,1 3 /dev/pts/1 (deleted)
tail 30912 root 2u CHR 136,1 3 /dev/pts/1 (deleted)
tail 30912 root 3r REG 253,0 1233377 688370 /var/log/messages.5 (deleted)