Как убедиться что запрос к БД выполнен?
Переключите PDO::ATTR_ERRMODE в PDO::ERRMODE_EXCEPTION. Если exceptin прилетел - значит запрос выполнен не был.
Не было исключения - значит запрос выполнен.их хеши со старым равны
И это криптографически плохо. См. стандартные password_hash + password_verify
Поддержу ответ Melkij 
Используйте предложенные функции для криптографии, с точки зрения безопасности они оптимальны. Проверку паролей, как я указал в комментарии, делаем через php.net/manual/ru/function.password-verify.php
Если таких функций нет, то нас спасет https://github.com/ircmaxell/password_compat