У меня на графиках пирингов тоже есть трафик их аплинков. Без понятия как он туда залетает, но такая штука с несколькими пирами у меня в городе.
1) спуфинг src адреса для амплификации
2) клиент имеет свои и немного выданных PA адресов из чужого блока, а исходящий трафик всей сети направляет по бестам в пиринг
3) ttl exceed ответы с интерфейса с адресом аплинка.
Все это может легально пролетать через пиринг.