Você pode precisar da bandeira --deep
... Compare a resposta link que funciona para mim:
# Re-signing an app:
codesign -f --deep -s <certname> /path/to/app
# Verify that it worked:
codesign -dvvvv /path/to/app
(Note que você precisa aceitar o diálogo uma última vez)