Debe vincular todas las variables una vez con bind_param()
y no dos o N veces. La forma correcta es pasar primero los tipos seguidos de las variables.
cambiar:
$stmt2->bind_param('s',$username);
$stmt2->bind_param('s',$password);
Por
$stmt2->bind_param('ss',$username, $password);
Con php5.6>=puedes pasar una matriz con ...
operador para simplificar.
$data = array('user' => 'someUser', 'password' => 'secret');
$stmt2->bind_param('ss', ...$data);