Я пришлю тебе
'';drop table config;select bitcoin from config
И таблица config будет удалена. Это называется
SQL-инъекцией.
Ты не оборачиваешь строку в кавычки, разумеется, ничего хорошего не получится. В случае цифр, конечно, запрос без кавычек выполняется успешно. Но вообще это неправильный способ использования SQL, так как любая кавычка его сломает, а тщательно подготовленный текст (пример я привёл) вообще вызовет не тот запрос, который планировался.
Правильно использовать плейсхолдеры:
q.execute("UPDATE config SET bitcoin=? WHERE id=?", (new_bitcoin, user_id))
В этом случае база данных сама правильно всё подставит и выполнит.