Quando um arquivo é removido / excluído / desvinculado, se ainda for mantido aberto por qualquer processo, somente a entrada de diretório do arquivo será apagada, não os dados do arquivo. Quando o arquivo é completamente fechado por todos os processos, os dados são retornados ao pool de espaço livre. É um recurso, pois você pode ter arquivos anônimos dessa maneira.
Para ver se você tem algum arquivo aberto excluído em um sistema de arquivos, execute um desses comandos, em que /mount/point
é o ponto de montagem ( /var
no seu caso):
lsof +L1 /mount/point
Este sobre arquivos abertos e desvinculados deve ajudar a explicar isso um pouco mais.