Убери кавычки вокруг последнего "?". В текущем варианте ты обновляешь баланс пользователя с именем "?", т.е. подстановка из переменной не происходит.
И да, как посоветовали выше - проверь, что у тебя в переменных money и user перед запросом.
print('Money:', repr(money))
print('User:', repr(user))
repr() выведет строку как строковую константу в питоне, т.е. можно будет увидеть обычно невидимые символы, которые могут присутствовать. Например, пробелы в конце строки.
