Почему после переноса сертификата для поддомена, возвращается корневой сертификат?

В смысле были две машины, для домена и поддомена, и хозяйство со второго переезжает на первый?

По идее, если на действующем поддоменном возвращался поддоменный сертификат, то и сейчас должен; следовательно корневой сертификат на поддомене отдаётся именно на "переехавшей" инсталляции.

Соответственно, в конфиге nginx должен быть server{…} под основной домен (с путями до доменного сертификата/ключей), и server{…} под поддомен (с путями до поддоменного сертификата/ключей).