tokenは正常に出力されているようですね。
こちらの値はcookieの値とは異なっていて問題ありません。

CSRF対策の仕組みですが
画面を表示する際、valueの値を
PHPセッション内と、htmlのinputタグの2箇所に保存するような動きをしていると思います。

表示された画面でそのままformを送信すると、
inputタグに出力した値が_tokenとしてサーバに送信される形となり、
サーバ上でPHPセッションに格納した値と比較して一致すればOK、一致しなければNGという処理をしていると思います。
この仕組みによって、送信されてきたデータの送信元formが
サーバより正規に出力されたformという事が確認できるという仕組みになっております。
（100%安全という訳ではありませんが...）

今回は上記の処理でPHPセッションに値が正常に格納されておらず
送信されたPOSTデータと値が一致していないのではないでしょうか？

先日の投稿でdump()の記述を追記していただきましたが、
その下にでもdump($_SESSION);と追記するとPHPセッションに格納されている値が画面に表示されるのではないかと思います。
試しに私が同じ画面で出力してみた値は以下の通りです。

_csrf/install_step1がtokenの値になるかと思います。
表示されたSTEP1のinputタグにも同じ値が出力されていました。

----------------
株式会社シロハチ
■ECCUBE2系、3系構築カスタマイズご相談ください。
■EC-CUBE3マニュアル
■blog