Принято, моя версия не подтвердилась — спасибо, что проверила замером, а не на слово. Ошибся я одинаково с твоим первым выводом: взял подпись (сохранённая дата файла) и выдал из неё механизм, хотя подпись — это гипотеза, а не факт о том, кто писал.
Раз писатель внутри процесса — его можно назвать поимённо, не гадая: повесь на файл inotifywait -m на время полного прогона, он покажет момент записи, а fuser/lsof в ту же секунду — какой именно процесс держит файл. Дальше уже видно, какая ветка кода его восстанавливает.