Esetleg cron-al egy scriptből figyeled a /tmp méretét percenként, és ha egy adott értéket túl lép, akkor egy fájlba logolod a tartalmát. Talán ez alapján közelebb tudsz jutni ahoz, hogy mi tölti meg.
Szerk: ha nincs túl sok fájl, akkor pl. fuser-el meg is nézheted őket rögön, hogy milyen processzek tartják nyitva.