Diogo,
De fato, ocorre a mesma situação para mim. No primeiro envio é solicitado o PIN, e autoriza normal. A partir daí, não vai de jeito nenhum.
Geralmente retorna "297-Rejeicao: Assinatura difere do calculado" mas eventualmente surge "Parâmetro incorreto".
Já limpei o XML, removi espaços em branco, removi apóstrofo, &, etc, e nada. Parece que algo se perde entre uma assinatura e outra.
Percebi que o erro de parâmetro incorreto é levantado nessa linha:
signedKey := xmldsig.sign(dsigKey, $00000002);
Mas como disse, é eventual.
Como esse token (ACS Cryptomate) é de uso recente e há pouca gente usando, talvez no futuro alguém descubra onde está o problema... Até lá vou instruir o cliente para a única solução possível: abandonar essa degraça e comprar um certificado A1, que é garantido.
Att.