Eu não consegui consertar isso com o postfix, então decidi remover o postfix e instalar o sendmail. Este é o guia de como configurar o sendmail para mascarar o remetente:
Para o 3.1, eu só precisava incluir
FEATURE(masquerade_envelope) FEATURE(genericstable, 'hash -o /etc/mail/genericstable')
GENERICS_DOMAIN_FILE('/etc/mail/genericsdomain')
e depois 3,2 é onde está o truque.
Não se esqueça de reiniciar sendmail
service no final.