Ok, de volta ao trabalho. Parece que você está certo.
Então, tentei definir DISCOURSE_S3_CDN_URL como um subcaminho de bucket https://hot-objects.liiib.re/forum-beta-liiib-re e agora está funcionando.
Você acha que seria razoável permitir o CDN S3 como um subdomínio do endpoint S3?
No meu caso, que pode ser semelhante a outras configurações auto-hospedadas, não estou usando um CDN externo (nginx no topo do minio pode ser considerado o CDN), então não preciso configurá-lo em outro domínio.
Na verdade, configurei o subdomínio do bucket porque, acho, é necessário para o discourse gerenciar uploads.
De qualquer forma, isso resolveu o problema e está funcionando para mim. Obrigado pela ajuda!