credo tu debba rivedere qualcosa del tuo script.

non dovresti estrarre tutti i nomi/pwd dalla tabella utenti a priori, senza sapere se il form e' stato compilato o meno.

Quindi prima controlla se $_POST e' valorizzato, se non lo e' mandi direttamente al form, se lo e' processi i dati. Pero' senza estrarre tutto dal db, ma verificando se nel db esiste tale user e tale pass....

Visto poi che usi comunque i cookies, penso potresti prendere in considerazione l'uso di SESSION.
Cfr. manuale