La query è fallata. C'è possibilità di SQL Injection.
Lo $username filtralo prima con mysql_real_escape_string()
e altra cosa, è inutile codificare la password in base64, perchè è decodificabile...
usa md5 o sha1 o meglio ancora entrambi...