Как в wireguard «привязать» конфиг к устройству? Разрешить подключаться только с него?

Отнять у пользователя возможность чтения конфига на этом устройстве, чтобы он не смог его никуда скопировать.

Как вариант, делаешь обфускацию WG через Wstunnel, тем самым перекрыв РКН все входы и выходы дополнительно.

Наряду с WG запускаешь и на сервере, и на клиенте Wstunnel c соответствующими параметрами и радуешься жизни:

Штатно - никак.
Максимум - это ограничение на количество одновременных сессий и попытки сторонними средствами сделать привязку.