Как понять уязвим запрос к бд или нет?
Понять очень просто.
Если в строке запроса есть переменные РНР, то инъекция теоретически возможна
Если в строке запроса нет переменных, то есть она представляет собой константное значение, то тут в принципе не может быть инъекции. 
В запросе "SELECT * FROM post_api WHERE `currency` = ?" переменных нет. Значит инъекции тоже.
А подготовленный запрос или нет - это дело десятое.
Ограничить длину вводимых данных и все